Компьютерные вирусы: классификация и их свойства

Содержание:

ВВЕДЕНИЕ

1. СВОЙСТВА КОМПЬЮТЕРНЫХ ВИРУСОВ

2. КЛАССИФИКАЦИЯ ВИРУСОВ

3. ОСНОВНЫЕ ВИДЫ ВИРУСОВ И СХЕМЫ ИХ ФУНКЦИОНИРОВАНИЯ

3.1. Загрузочные вирусы

3.2. Файловые вирусы

3.3. Файлово-загрузочные вирусы

3.4. Полиморфные вирусы

3.5. Стелс-вирусы

3.6. Макровирусы, черви, трояны

4. ПРИЗНАКИ ПОЯВЛЕНИЯ ВИРУСОВ

5. АНТИВИРУСНЫЕ ПРОГРАММЫ

6. ЧЕГО НЕ МОГУТ ДЕЛАТЬ ВИРУСЫ

ЗАКЛЮЧЕНИЕ

Литература

ВВЕДЕНИЕ

     Современный мир невозможно представить без средств ком­муникаций и вычислительной техники. Информационные тех­нологии прогрессируют очень быстро, охватывая все более широ­кие области человеческой деятельности.

     Вряд ли стоит напоминать, что компьютеры стали настоящими помощниками человека и без них уже не может обойтись ни коммерческая фирма, ни государственная организация. Однако в связи с этим особенно обострилась проблема защиты информации.

     Вирусы, получившие широкое распространение в компьютерной технике, взбудоражили весь мир. Несмотря на принятые во многих странах законы о борьбе с компьютерными преступлениями и разработку специальных программных средств защиты от вирусов, количество новых программных вирусов постоянно растет. Это требует от пользователя персонального компьютера знаний о природе вирусов, способах заражения вирусами и защиты от них.

     Вирус — программа, способная создавать свои копии (необязательно совпадающие с оригиналом) и внедрять их в файлы, системные области компьютера, компьютерных сетей, а также осуществлять иные деструктивные действия. При этом копии сохраняют способность дальнейшего распространения. Компьютерный вирус относится к вредоносным программам. (Определение по ГОСТ Р 51188-98)

1. СВОЙСТВА КОМПЬЮТЕРНЫХ ВИРУСОВ

     Рассмотрим некоторые свойства компьютерных вирусов, которые позволяют говорить о них как об определенном классе программ. Прежде всего, вирус - это программа. Такое простое утверждение само по себе способно развеять множество легенд о необыкновенных возможностях компьютерных вирусов. Вирус может перевернуть изображение на вашем мониторе, но не может перевернуть сам монитор.

     Вирус - программа, обладающая способностью к самовоспроизведению. Такая способность является единственным средством, присущим всем типам вирусов. Но не только вирусы способны к самовоспроизведению. Любая операционная система и еще множество программ способны создавать собственные копии. Копии же вируса не только не обязаны полностью совпадать с оригиналом, но и могут вообще с ним не совпадать! Вирус не может существовать в "полной изоляции": сегодня нельзя представить себе вирус, который не использует код других программ, информацию о файловой структуре или даже просто имена других программ. Причина: вирус должен каким-нибудь способом обеспечить передачу себе управления.

2. КЛАССИФИКАЦИЯ ВИРУСОВ

Вирусы можно классифицировать по следующим признакам:

-среде обитания;

-способу заражения среды обитания;

-воздействию;

-особенностям алгоритма;

     В зависимости от среды обитания вирусы можно разделить на файловые, загрузочные и файлово-загрузочные. Вирусы распространяются по различным компьютерным сетям. Файловые вирусы внедряются главным образом в исполняемые модули, т. е. в файлы, имеющие расширения COM и EXE. Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (MBR). Файлово-загрузочные вирусы заражают как файлы, так и загрузочные сектора дисков.

     По способу заражения вирусы делятся на резидентные и нерезидентные. Резидентный вирус при заражении компьютера оставляет в оперативной памяти свою резидентную часть, которая потом перехватывает обращение операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т. п.) и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

     По степени воздействия вирусы можно разделить на следующие виды:

-неопасные, не мешающие работе компьютера, но уменьшающие объем свободной оперативной памяти и памяти на дисках, действия таких вирусов проявляются в каких-либо графических или звуковых эффектах

-опасные вирусы, которые могут привести к различным нарушениям в работе компьютера

-очень опасные, воздействие которых может привести к потере программ, уничтожению данных, стиранию информации в системных областях диска

     По особенностям алгоритма вирусы трудно классифицировать из-за большого разнообразия. Простейшие вирусы - паразитические, они изменяют содержимое файлов и секторов диска и могут быть достаточно легко обнаружены и уничтожены. Известны вирусы-невидимки, называемые стелс-вирусами, которые очень трудно обнаружить и обезвредить. Наиболее трудно обнаружить вирусы-мутанты, содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов.

3. ОСНОВНЫЕ ВИДЫ ВИРУСОВ И СХЕМЫ ИХ ФУНКЦИОНИРОВАНИЯ

     Мы уже говорили, что среди всего разнообразия вирусов можно выделить следующие основные группы:

-загрузочные;

-файловые;

-файлово-загрузочные;

     Кроме того, вирусы бывают макрокомандные, резидентные и нерезидентные, полиморфные и маскирующиеся (стелс-вирусы).

     Теперь остановимся более подробно на каждой из групп.

3.1. Загрузочные вирусы

     Рассмотрим схему функционирования простого загрузочного вируса. Мы сознательно обойдем все многочисленные тонкости, которые неизбежно встретились бы при строгом разборе алгоритма его функционирования.

    Что происходит, когда вы включаете компьютер? В современных компьютерах процесс начальной загрузки начинается с выполнения процессором команд, расположенных в постоянной памяти, например на IBM PC - команд BIOS. Данное программное обеспечение может обнаруживать устройства, подходящие для загрузки, и загружать со специального раздела выбранного устройства (загрузочного сектора) загрузчик ОС. Если BIOS обнаружит загрузочное устройство, он считает с него начальный загрузчик и передаст ему управление. В случае жесткого диска, начальный загрузчик называется главной загрузочной записью (MBR). Обычно он ищет активный раздел жесткого диска, загружает загрузочный сектор (boot-sector) данного раздела и передает ему управление. А он, должен в свою очередь загрузить в память ядро операционной системы и передать ему управление. Таким образом, нормальная схема начальной загрузки следующая: программа начальной загрузки в BIOS (ПЗУ) - MBR (диск) - boot-sector (диск) - СИСТЕМА.          

     Теперь рассмотрим вирус. В загрузочных вирусах выделяют две части - т.н. голову и т.н. хвост. Хвост, вообще говоря, может быть пустым.

     Заражая носитель, вирус производит следующие действия:

-выделяет некоторую область диска и помечает ее как недоступную операционной системе, это можно сделать по-разному, в простейшем и традиционном случае занятые вирусом секторы помечаются как сбойные (bad);

-копирует в выделенную область диска свой хвост и оригинальный (здоровый) загрузочный сектор;

-замещает программу начальной загрузки в загрузочном секторе (настоящем) своей головой;

-организует цепочку передачи управления согласно схеме.

     Таким образом, голова вируса теперь первой получает управление, вирус устанавливается в память и передает управление оригинальному загрузочному сектору. В цепочке BIOS (ПЗУ) - MBR (диск) - boot-sector (диск) - СИСТЕМА появляется новое звено: BIOS (ПЗУ) - MBR (диск) - ВИРУС - boot-sector (диск) - СИСТЕМА.

3.2. Файловые вирусы

     В отличие от загрузочных вирусов, которые практически всегда резидентны, файловые вирусы совсем не обязательно резидентны. Рассмотрим схему функционирования нерезидентного файлового вируса. Пусть у нас имеется инфицированный исполняемый файл. При запуске такого файла вирус получает управление, производит некоторые действия и передает управление "хозяину" (хотя еще неизвестно, кто в такой ситуации хозяин).

     Какие же действия выполняет вирус? Он ищет новый объект для заражения - подходящий по типу файл, который еще не заражен (в том случае, если вирус "приличный", а то попадаются такие, что заражают сразу, ничего не проверяя).  

     Заражая файл, вирус внедряется в его код, чтобы получить управление при запуске этого файла. Кроме своей основной функции - размножения, вирус вполне может сделать что-нибудь замысловатое (сказать, спросить, сыграть) - это уже зависит от фантазии автора вируса. Если файловый вирус резидентный, то он установится в память и получит возможность заражать файлы и проявлять прочие способности не только во время работы зараженного файла. Заражая исполняемый файл, вирус всегда изменяет его код - следовательно, заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:

-он не обязан менять длину файла;

-неиспользуемые участки кода;

-не обязан менять начало файла;

     Наконец, к файловым вирусам часто относят вирусы, которые "имеют некоторое отношение к файлам", но не обязаны внедряться в их код.  

     Рассмотрим в качестве примера схему функционирования вирусов известного семейства Dir-II. Нельзя не признать, что появившись в 1991 г., эти вирусы стали причиной настоящей эпидемии чумы в России. Рассмотрим модель, на которой ясно видна основная идея вируса. Информация о файлах хранится в каталогах. Каждая запись каталога включает в себя имя файла, дату и время создания, некоторую дополнительную информацию, номер первого кластера файла и т.н. резервные байты.

     При запуске исполняемых файлов система считывает из записи в каталоге первый кластер файла и далее все остальные кластеры. Вирусы семейства Dir-II производят следующую "реорганизацию" файловой системы: сам вирус записывается в некоторые свободные секторы диска, которые он помечает как сбойные. Кроме того, он сохраняет информацию о первых кластерах исполняемых файлов в резервных битах, а на место этой информации записывает ссылки на себя.

     Таким образом, при запуске любого файла вирус получает управление (операционная система запускает его сама), резидентно устанавливается в память и передает управление вызванному файлу.

3.3. Файлово-загрузочные вирусы

   Мы не станем рассматривать модель загрузочно-файлового вируса, ибо никакой новой информации при этом не получим. Рассмотрим крайне "популярный" в недалеком прошлом загрузочно-файловый вирус OneHalf, заражающий главный загрузочный сектор (MBR) и исполняемые файлы.  

    Основное разрушительное действие - шифрование секторов винчестера. При каждом запуске вирус шифрует очередную порцию секторов, а зашифровав половину жесткого диска, радостно сообщает об этом. Основная проблема при лечении данного вируса состоит в том, что недостаточно просто удалить вирус из MBR и файлов, надо расшифровать зашифрованную им информацию. Наиболее "смертельное" действие - просто переписать новый здоровый MBR.

3.4. Полиморфные вирусы

     Полиморфные вирусы - вирусы, модифицирующие свой код в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите.

     Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровщика и расшифровщика, что отличает их от обычных шифровальных вирусов, которые также могут шифровать участки своего кода, имеют при этом постоянный код шифровальщика и расшифровщика.

     Полиморфные вирусы - это вирусы с самомодифицирующимися расшифровщиками. Цель такого шифрования: имея зараженный и оригинальный файлы вы все равно не сможете проанализировать его код с помощью обычного дизассемблирования. Этот код зашифрован и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны варианты: он может расшифровать себя всего сразу, а может выполнить такую расшифровку "по ходу дела", может вновь шифровать уже отработавшие участки. Все это делается ради затруднения анализа кода вируса.

3.5. Стелс-вирусы

     В ходе проверки компьютера антивирусные программы считывают данные - файлы и системные области - с жестких дисков и дискет, пользуясь средствами операционном системы и BIOS. Стелс-вирусы, или вирусы-невидимки, после запуска оставляют в оперативной памяти компьютера специальные модули, перехватывающие обращение программ к дисковой подсистеме компьютера.

     Если такой модуль обнаруживает, что программа пользователя пытается прочитать зараженный файл или системную область диска, он на ходу подменяет читаемые данные и таким образом остается незамеченным, обманывая антивирусные программы.