Классификация вирусов

     Поэтому необходимо достаточно часто дублировать  управляющие данные файловой системы  на другой, заранее известный участок  диска или дискету. Для этой цели, в частности, можно использовать утилиту DBACK, а также Mirror из пакета PC SHELL.

       Наиболее опасны как раз не катастрофические повреждения винчестера или дискет (при адекватном архивировании это означает максимум потерю одного дня работы), а мелкие, незаметные изменения файлов данных. В частности, известен вирус, который ищет файлы типа DBF, и, найдя внутри файла числовое поле, меняет местами две рядом стоящие цифры. Хотя большинство повреждений, наносимых вирусом, относятся к данным, возможны также повреждения оборудования. Например, можно повредить участок люминофора («выжечь пятно») на монохроматическом мониторе, используя особенности схемы управления.

      Далеко  не все повреждения файловой системы, отказы винчестера или оборудования вызываются вирусами. Например, некоторые типы винчестеров имеют довольно низкую надежность и «сыпятся» без всякого вмешательства вирусов. Автору приходилось работать на изношенном дисководе ПЭВМ ЕС 1840, который при записи иногда стирал FAT. Причем восстановить поврежденный FAT при помощи известной утилиты Norton Doctor не удавалось.

      В то же время имеется тенденция  атрибутировать любое повреждение  данных присутствием вируса. Это, по сути, один из вариантов мании («вирусомания»), которая, подобно печальной известной шпиономании («шпионы под каждой кроватью»), имеет социально-психологическую этиологию. 

      Классификация компьютерных вирусов

     Классификация вирусов должна позволять однозначно охарактеризовать не только известные  вирусы, но и новые их разновидности по ограниченному числу сравнительно простых и непротиворечивых признаков.

     При её отсутствии существенно затрудняется характеристика различных средств защиты, что способствует дублированию разработок. В частности, приходилось неоднократно экспериментально устанавливать назначение тех или иных средств защиты, относительно которых разработчики не сообщали тип вируса, против которого применим данный программный продукт, или сообщали свою собственную «кличку». Например, вирус С648 авторами фага FAG_OM назван Omega, что конечно, свидетельствует об изобретательности авторов, но ничего не говорит потенциальным пользователям.

     Кроме того, стандартная классификация  существенно облегчает систематизацию, распространение и накопление знаний, а также обучение методам борьбы с тем или иным вирусом. При отсутствии стандартной классификации имеется тенденция аппроксимировать общее количество вирусов имеющимся количеством средств защиты и, прежде всего программ – фагов. Такая аппроксимация приводит к существенной переоценке общего количества имеющихся компьютерных вирусов, однако человек быстро «рационализирует» этот факт путём разбиения одного реального вируса на несколько «виртуальных», приписывая каждому свой набор признаков. Так, пользователям приходилось сталкиваться с «самодельной» классификацией, в которой вирусы С648 и СЕ1813R входили в двух «ипостасях» каждый, причем второй ипостаси вируса С648 приписывались черты вируса СE1813R (замедление работы компьютера).

     В то же время, при наличии стандартной  классификации набор признаков каждого типа вируса определяется однозначно, что обеспечивает быструю идентификацию вируса, а также возможность выделения новых видов и разновидностей.

     Здесь предлагается классификация, в которой  имя вируса состоит из буквенного префикса, цифрового корня и факультативного буквенного суффикса.

     Буквенный префикс характеризует среду  размножения вируса. В зависимости  от среды размножения можно выделить четыре основных типа вирусов: располагающиеся  в BOOT секторе и в сбойных секторах – бутовые вирусы (тип B), в COM и EXE – файлах – файловые вирусы (типы C и E), а также передающиеся по сети – сетевые вирусы (тип N). В некоторых случаях возможно сочетание префиксов, например, C и E (тип CE).  

     Цифровой  корень характеризует длину вируса. Поскольку точное определение этой величины затруднительно, используется ее приближённое значение, получаемое по следующим правилам:

     1. Для вирусов типа C и CE он принимается равным приращению длины файла COMMAND.COM при заражении. Если длинный вирус не заражает командный процессор, то в качестве аппроксимации длины используется минимальное приращение длин COM – файлов при заражении (для некоторых файловых вирусов приращения не является стабильным и зависит от длины заражаемого файла (например, при дописывании своего тела в конец заражаемого файла некоторые вирусы выравнивают начало своего тела на начало параграфа). К сожалению, в MS-DOS 3.3 имеются две версии командного процессора с длиной 25307 и 25308 байтов. Приводимые здесь данные относятся к COMMAND.COM длиной 25307.

     2. Для типа E в качестве аппроксимации длины принимается минимальное приращение длины при заражении файлов типа EXE.

     3. Для вирусов типа B в качестве аппроксимации длины принимается используемых секторов, умноженное на 512 (длину сектора).

     Такой подход повышает прогностическую ценность классификации, поскольку во многих случаях позволяет сразу по длине заражённого COMMAND.COM (а файловые вирусы поражают этот файл в числе первых) определить тип вируса. Для бутовых вирусов было бы более наглядным указывать наглядное количество занимаемых кластеров, однако нет никакой гарантии, что не появятся два или более вируса с одним и тем же количеством занимаемых кластеров.

     Вирусы  делятся на резидентные и нерезидентные. Нерезидентные вирусы, например, C648, получают управление после загрузки в память зараженной программы, а затем ищут файл – жертву, используя PATH, COMSPEC или другую информацию, и заражают этот файл. После этого управление возвращается зараженной программе.  

     В отличие от них, резидентные вирусы после загрузки в память и передачи управления заражённой программе перехватывают ряд прерываний и остаются в памяти резидентными. Получив управление после того или иного прерывания, они выполняют определённые действия. Так, при запуске программ резидентные файловые вирусы могут перехватывать вызов программы (прерывание 21-4B) и заражают запускаемую программу. Вирус CE1800K перехватывает также и прерывания по чтению и заражает, в частности, оба файла, копируемых командой COPY, если они имеют расширение EXE или COM. Аналогично бутовые вирусы (B1024R, B3072R), которые, по видимому, могут быть только резидентными, перехватывают прерывание по чтению, и если это прерывание идёт от дискеты, то выполняют заражение поставленной дискеты.

     В отличие от нерезидентных вирусов, резидентные вирусы имеют фазу инсталляции, в ходе которой они закрепляются в оперативной памяти и в то же время маскируются, стараясь затруднить свое обнаружение среди резидентных программ. Эта фаза инсталляции требует наличия особой части вируса – программы инсталлятора, которая не требуется для нерезидентных вирусов.

     Поскольку резидентность является очень важной характеристикой вируса, для классификации  резидентных вирусов используется суффикс R, например C1701R.

     В то же время некоторые резидентные  вирусы во время инсталляции используют COMSPEC для поиска COMMAND.COM. Поэтому сама по себе резидентность не определяет конкретных способов поиска «жертвы».

     По  степени разрушительности можно  условно различать два типа вирусов, которых можно назвать иллюзионистами (C1701R, CE1805R, B1024R) и убийцами (C648, CE800R, B3072R, C346R). Основным приоритетом при конструировании вирусов – иллюзионистов является демонстрация какого-нибудь экзотического звукового (СE1805R) или визуального эффекта типа бегающего шарика (B1024R), падающих букв (C1701R). В качестве основного приоритета вирусов – убийц является как можно более скрытое размножение, с тем, чтобы в фазе разрушения (детонации), уничтожающей и данный экземпляр вируса (при разрушении FAT, форматизации и других подобных действиях), предшествовало определённое количество незамеченных размножений.

     При этом наблюдается интересная взаимосвязь, на которую впервые обратил внимание автор Л. И Обухов: «если вирус демонстрирует визуальный или звуковой эффект, то,  скорее всего он не выполняет массированного разрушения данных». Действительно, это правило подтверждается на примере приведённых вирусов. Только CE1813R несколько выпадает из этого ряда. Однако создаваемые им визуальные эффекты (чёрное окно в левом нижнем углу и замедление работы ЭВМ)  довольно примитивны.  

Классификация методов защиты

     Среди важнейших мер по защите от вирусов  отметим следующие:

1. резервирование (копирование FAT, ежедневное ведение архивов измененных файлов). Это самый важный, основной метод защиты от вирусов. Остальные методы не могут заменить ежедневное архивирование, хотя и повышают общий уровень защиты;
2. профилактику (систематическая выгрузка содержимого активной части винчестера на дискеты или магнитную ленту, раздельное хранение вновь полученных программ и эксплуатирующихся, хранение неиспользуемых программ в архивах, использование специальной «инкубационной» зоны для записи новых программ с дискет);
3. ревизию (анализ вновь полученных программ специальными средствами и их запуск в контролируемой среде, систематическое использование контрольных сумм при хранении и передаче программ, систематическая проверка BOOT – сектора используемых дискет и содержимого системных файлов (прежде всего COMMAND.COM) и др. Имеется целый ряд программ – ревизоров, обеспечивающих подсчёт контрольных сумм, из которых наиболее известна программа DLI (Directory Life Information), разработанная Герасимовым. Каждая новая программа, полученная без контрольных сумм, должна тщательно проверяться компетентными специалистами, по меньшей мере, на известные виды компьютерных вирусов и в течение определённого времени за ней должно быть организованно наблюдение);
4. фильтрацию (использование Advancer Disk Manager для разбиения диска на «непотопляемые» отсеки – зоны с установленным атрибутом READONLY, использование резидентных программ типа Flu Shot Plus, Mace Vaccine для обнаружения попыток выполнить несанкционированные действия);
5. вакцинирование (специальная обработка файлов, дисков, каталогов, запуск специальных резидентных программ – вакцин, имитирующих сочетание условий, которые используются данным типом вируса для определения заражена программа, диск, ЭВМ или нет, т.е. обманывающие вирусы);
6. терапию (дезактивацию конкретного вируса в заражённых программах с помощью специальной программы – антибиотика или восстановление первоначального состояния программ путем «пожирания» всех экземпляров вируса в каждом из заражённых файлов или дисков с помощью программы – фага).

      Заключение

     Итак, можно привести массу фактов, свидетельствующих  о том, что угроза информационному ресурсу возрастает с каждым днём, подвергая в панику ответственных лиц в банках, на предприятиях и в компаниях во всем мире. И угроза эта исходит от компьютерных вирусов, которые искажают или уничтожают жизненно важную, ценную информацию, что может привести не только к финансовым потерям, но и к человеческим жертвам.

     Компьютерный  вирус - специально написанная программа, способная самопроизвольно присоединяться к другим программам, создавать свои копии и внедрять их в файлы, системные  области компьютера и в вычислительные сети с целью нарушения работы программ, порчи файлов и каталогов, создания всевозможных помех в работе компьютера.

     В настоящее время известно более 5000 программных вирусов, число которых непрерывно растёт. Известны случаи, когда создавались учебные пособия, помогающие в написании вирусов.

     И из истории компьютерной вирусологии ясно, что любая оригинальная компьютерная разработка заставляет создателей антивирусов приспосабливаться к новым технологиям, постоянно усовершенствовать антивирусные программы.

     Причины появления и распространения  вирусов скрыты с одной стороны  в психологии человека, с другой стороны - с отсутствием средств  защиты у операционной системы.

     Для того, чтобы вирусы не проникали  в нашу личную жизнь необходимо соблюдать меры по защите. Ведь для обнаружения, удаления и защиты от каких-то новых компьютерных вирусов разрабатываются и новые антивирусные программы.

      Список использованных Интернет-ресурсов

     http://www.frolov-lib.ru – Фролов А., Фролов Г. “Осторожно: компьютерные вирусы”

     http://ypn.ru - Лаборатория Сетевой Безопасности “Компьютерные вирусы и проблемы антивирусной защиты”

     http://news.24-it.ru - Последние новости в мире информационных технологий “Что такое компьютерный вирус?”

     http://firstweb.bos.ru - Большой справочник по компьютерным вирусам

     http://www.ezpc.ru - Энциклопедия необходимых компьютерных знаний