Компьютерные вирусы

Компью́терный ви́рус — разновидность компьютерных программ или вредоносный код, отличительной особенностью которых является способность к размножению (саморепликация). В дополнение к этому вирусы могут без ведома пользователя выполнять прочие произвольные действия, в том числе наносящие вред пользователю и/или компьютеру.

Даже если автор вируса не программировал вредоносных эффектов, вирус может  приводить к сбоям компьютера из-за ошибок, неучтённых тонкостей  взаимодействия с операционной системой и другими программами. Кроме того, вирусы обычно занимают некоторое место на накопителях информации и отбирают некоторые другие ресурсы системы. Поэтому вирусы относят к вредоносным программам.

Некомпетентные пользователи ошибочно относят к компьютерным вирусам  и другие виды вредоносных программ —программы-шпионы и прочее. Известны десятки тысяч компьютерных вирусов, которые распространяются через Интернет по всему миру.

История появления вирусных программ.

Основы теории самовоспроизводящихся  механизмов заложил американец венгерского  происхождения Джон фон Нейман, который в 1951 году предложил метод создания таких механизмов. С 1961 года известны рабочие примеры таких программ.

Первыми известными собственно вирусами являются Virus 1,2,3 и Elk Cloner для ПК Apple II, появившиеся в 1981 году. Зимой 1984 года появились первые антивирусные утилиты — CHK4BOMB и BOMBSQAD авторства Анди Хопкинса (англ. Andy Hopkins). В начале 1985 года Ги Вонг (англ. Gee Wong) написал программу DPROTECT — первый резидентный антивирус.

Первые вирусные эпидемии относятся  к 1987—1989 годам: Brain (более 18 тысяч зараженных компьютеров, по данным McAfee), Jerusalem (проявился в пятницу 13 мая 1988 года, уничтожая программы при их запуске^[4]), червь Морриса (свыше 6200 компьютеров, большинство сетей вышло из строя на срок до пяти суток), DATACRIME (около 100 тысяч зараженных ПЭВМ только в Нидерландах).

Тогда же оформились основные классы двоичных вирусов: сетевые черви (червь  Морриса, 1987), «троянские кони» (AIDS, 1989^[5]), полиморфные вирусы (Chameleon, 1990), стелс-вирусы (Frodo, Whale, 2-я половина 1990).

Параллельно оформляются организованные движения как про-, так и антивирусной направленности: в 1990 году появляются специализированная BBS Virus Exchange, «Маленькая чёрная книжка о компьютерных вирусах» Марка Людвига, первый коммерческий антивирус Symantec Norton AntiVirus.

В 1992 году появились первый конструктор вирусов для PC — VCL (для Amiga конструкторы существовали и ранее), а также готовые полиморфные модули (MtE, DAME и TPE) и модули шифрования для встраивания в новые вирусы.

В несколько последующих лет  были окончательно отточены стелс- и полиморфные технологии (SMEG.Pathogen, SMEG.Queeg, OneHalf, 1994; NightFall, Nostradamus, Nutcracker, 1995), а также испробованы самые необычные способы проникновения в систему и заражения файлов (Dir II — 1991, PMBS, Shadowgard, Cruncher — 1993). Кроме того, появились вирусы, заражающие объектные файлы (Shifter, 1994) и исходные тексты программ (SrcVir, 1994). С распространением пакета Microsoft Office получили распространение макровирусы (Concept, 1995).

В 1996 году появился первый вирус для Windows 95 — Win95.Boza, а в декабре того же года — первый резидентный вирус для неё — Win95.Punch.

С распространением сетей и Интернета  файловые вирусы всё больше ориентируются  на них как на основной канал работы (ShareFun, 1997 — макровирус MS Word, использующий MS-Mail для распространения; Win32.HLLP.DeTroie, 1998 — семейство вирусов-шпионов; Melissa, 1999 — макровирус и сетевой червь, побивший все рекорды по скорости распространения). Эру расцвета «троянских коней» открывает утилита скрытого удаленного администрирования BackOrifice (1998) и последовавшие за ней аналоги (NetBus, Phase).

Вирус Win95.CIH достиг апогея в применении необычных методов, перезаписывая FlashBIOS зараженных машин (эпидемия в июне 1998 считается самой разрушительной за предшествующие годы).

В конце 1990-x — начале 2000-x годов с усложнением ПО и системного окружения, массовым переходом на сравнительно защищенные Windows семейства NT, закреплением сетей как основного канала обмена данными, а также успехами антивирусных технологий в обнаружении вирусов, построенных по сложным алгоритмам, последние стали всё больше заменять внедрение в файлы на внедрение в операционную систему (необычный автозапуск, руткиты) и подменять полиморфизм огромным количеством видов (число известных вирусов растет экспоненциально).

Вместе с тем, обнаружение в  Windows и другом распространенном ПО многочисленных уязвимостей открыло дорогу червям-эксплоитам. В 2004 году беспрецедентные по масштабам эпидемии вызывают MsBlast (по данным Microsoft — более 16 млн систем^]), Sasser и Mydoom (оценочные ущербы 500 млн и 4 млрд долл. соответственно).

Кроме того, монолитные вирусы в значительной мере уступают место комплексам вредоносного ПО с разделением ролей и вспомогательными средствами (троянские программы, загрузчики/дропперы, фишинговые сайты, спам-боты и пауки). Также расцветают социальные технологии — спам и фишинг — как средство заражения в обход механизмов защиты ПО.

Вначале на основе троянских программ, а с развитием технологий p2p-сетей — и самостоятельно — набирает обороты самый современный вид вирусов — черви-ботнеты(Rustock, 2006, ок. 150 тыс. ботов; Conficker, 2008—2009, более 7 млн ботов; Kraken, 2009, ок. 500 тыс. ботов). Вирусы в числе прочего вредоносного ПО окончательно оформляются как средство киберпреступности.

Назначение вирусных программ.

1. Полное отсутствие каких-либо  действий, кроме непосредственно  размножения Такое бывает нередко.  Иногда из-за того, что создатель  вируса так и не придумал, каким  раздолбайством поразить этот мир, а иногда из-за того, что программа деструктивныx действий содержит ошибки, в результате которых эти действия так и не будут произведены. Впрочем, просто размножающиеся вирусы также достаточно вредны, потому что занимают место на диске, замедляют работу компьютера, создают различные глюки при работе — пусть даже и не специально. 
 
2. Безобидные шутки 
Когда вирус пишется не больным на всю голову мизантропом, а весёлым студентом, который таким образом пытается попробовать свои силы н программировании, то результат работы вируса может содержать всего лишь безобидную шутку — например, истеричные скачки курсора по всему экрану переворачивание изображения, убегание кнопок от курсора мыши или сдвиг окна документа. Впрочем, шyтка как результат работы вируса встречается крайне и крайне редко, что доказывает неоспоримый факт: весёлые студенты, как правило, находят более интересные применения своим умениям, а вирусы всё-таки пишут больные на всю голову мизантропы. 
 
3. Реклама 
В определённый период вирус выводит на экран зараженного компьютера какое-то рекламное сообщение, прославляющее фирму, производимый ею продукт или самого разработчика вируса. Нередко рекламное сообщение может быть до предела идиотским — как, впрочем, и личность разработчика. 
 
4. Шпионаж 
Результатом работы определённого рода вирусов может быть шпионаж — слежение за тем, что происходит на компьютере и отправка накопленных данных на определённый адрес, — а также прямое хищение информации. Причём нередко встречаются вирусы, которые ваши документы отсылают вовсе не своему создателю (на черта они ему нужны, если подумать), а... всем абонентам вашей адресной книги. Зачем? Да просто так захотелось разработчику. Чтобы повеселиться, вероятно. 
 
5. Деструктивные действия 
Ну а ряд вирусов в качестве основной цели своего существования содержат программу по-настоящему опасных действий, приводящих к частичной или полной потере информации на заражённом компьютере. Следует хорошо понимать, что в любом случае вирус — это есть зло. Если он попал на ваш компьютер, то вы можете ожидать от него любых пакостей, потому что почти никогда нельзя заранее сказать, каким будет результат его работы. Но лучше ожидать худшего — просто потому, что с высокой долей вероятности данный вирус написан вовсе не для того, чтобы призвать мир сохранять зелёные насаждения...

Классификация вирусов.

Существует множество  типов вирусов. По опасности для  системы вирусы могут быть от совсем безобидных, которые кроме саморазмножения ничем не занимаются, до фатальных, которые могут привести к краху всей системы. По принципу действия можно привести несколько самых распространенных типов:

• загрузочные
• файловые
• макро-вирусы
• полиморфик-вирусы
• стелс-вирусы
• резидентные
• IRC-черви.
• сетевые

Загрузочные вирусы заражают загрузочный (boot) сектор флоппи-диска и boot-сектор или Master Boot Record (MBR) винчестера. Принцип действия загрузочных вирусов основан на алгоритмах запуска операционной системы при включении или перезагрузке компьютера - после необходимых тестов установленного оборудования (памяти, дисков и т.д.) программа системной загрузки считывает первый физический сектор загрузочного диска и передает на него управление.

 
Файловые вирусы. К данной группе относятся вирусы, которые при своем размножении тем или иным способом используют файловую систему какой-либо ОС. Внедрение файлового вируса возможно практически во все исполняемые файлы всех популярных ОС. На сегодняшний день известны вирусы, поражающие все типы выполняемых объектов стандартной DOS: командные файлы (BAT), загружаемые драйверы (SYS, в том числе специальные файлы IO.SYS и MSDOS.SYS) и выполняемые двоичные файлы (EXE, COM). Существуют вирусы, поражающие исполняемые файлы других операционных систем - Windows 3.x, Windows95/NT, OS/2, UNIX, включая VxD-драйвера Windows 3.x и Windows95. Существуют вирусы, заражающие файлы, которые содержат исходные тексты программ, библиотечные или объектные модули.

 
Макро-вирусы (macro viruses) являются программами на макро-языках, встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.д.). Макро-вирусы записывают свой код в файлы данных - документы или электронные таблицы. Для своего размножения такие вирусы используют возможности макро-языков и при их помощи переносят себя из одного зараженного файла (документа или таблицы) в другие. Наибольшее распространение получили макро-вирусы для Microsoft Word, Excel и Office97. Существуют также макро-вирусы, заражающие документы Ami Pro и базы данных Microsoft Access.

Для существования вирусов  в конкретной системе (редакторе) необходимо наличие встроенного в систему  макро-языка (редакторы Microsoft Word, Office97, AmiPro, Excel и база данных Microsoft Access).

Можно сказать, что большинство  макро-вирусов являются как бы резидентными: они активны не только в момент открытия/закрытия файла, но до тех пор, пока активен сам редактор. 

К полиморфик-вирусам относятся те из них, детектирование которых невозможно (или крайне затруднительно) осуществить при помощи так называемых вирусных масок – участков постоянного кода, специфичных для конкретного вируса. Достигается это двумя основными способами - шифрованием основного кода вируса с непостоянным ключом и случайным набором команд расшифровщика или изменением самого выполняемого кода вируса. Полиморфизм различной степени сложности встречается в вирусах всех типов - от загрузочных и файловых DOS-вирусов до Windows-вирусов и даже макро-вирусов.

Стелс-вирусы теми или иными способами скрывают факт своего присутствия в системе. Известны стелс-вирусы всех типов, за исключением Windows-вирусов — загрузочные вирусы, файловые DOS-вирусы и даже макро-вирусы.

Резидентные вирусы. Под термином "резидентность" (DOS'овский термин TSR - Terminate and Stay Resident) понимается способность вирусов оставлять свои копии в системной памяти, перехватывать некоторые события (например, обращения к файлам или дискам) и вызывать при этом процедуры заражения обнаруженных объектов (файлов и секторов). Таким образом, резидентные вирусы активны не только в момент работы зараженной программы, но и после того, как программа закончила свою работу. Резидентные копии таких вирусов остаются жизнеспособными вплоть до очередной перезагрузки, даже если на диске уничтожены все зараженные файлы.

Нерезидентные вирусы, напротив, активны довольно непродолжительное  время — только в момент запуска  зараженной программы. Для своего распространения  они ищут на диске незараженные файлы  и записываются в них. После того, как код вируса передает управление программе-носителю, влияние вируса на работу операционной системы сводится к нулю вплоть до очередного запуска  какой-либо зараженной программы. Поэтому  файлы, зараженные нерезидентными вирусами значительно проще удалить с  диска и при этом не позволить  вирусу заразить их повторно.

IRC-черви. IRC (Internet Relay Chat) — это специальный протокол, разработанный для коммуникации пользователей Интернет в реальном времени. Этот протокол предоставляет возможность Интернет-"разговора" при помощи специально разработанного программного обеспечения. IRC чем-то похож на телефонный разговор, за исключением того, что в разговоре могут участвовать более двух собеседников, объединяющихся по интересам в различные группы IRC-конференций. Помимо общения существует также возможность передавать и принимать файлы - именно на этой возможности и базируются IRC-черви.

К сетевым относятся вирусы, которые для своего распространения активно используют протоколы и возможности локальных и глобальных сетей. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. «Полноценные» сетевые вирусы при этом обладают еще и возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску зараженного файла.

К "вредным программам", помимо вирусов, относятся также троянские кони (логические бомбы), утилиты скрытого администрирования удаленных компьютеров ("backdoor"), программы, "ворующие" пароли доступа к ресурсам Интернет и прочую конфиденциальную информацию.

Большинство известных троянских  коней являются программами, которые "подделываются" под какие-либо полезные программы, новые версии популярных утилит или дополнения к ним. Очень  часто они рассылаются по BBS-станциям или электронным конференциям. По сравнению с вирусами "троянские  кони" не получают широкого распространения  по достаточно простым причинам - они  либо уничтожают себя вместе с остальными данными на диске, либо демаскируют свое присутствие и уничтожаются пострадавшим пользователем.

Троянские кони класса “backdoor” по своей сути является достаточно мощными утилитами удаленного администрирования компьютеров в сети. По своей функциональности они во многом напоминают различные системы администрирования, разрабатываемые и распространяемые различными фирмами-производителями программных продуктов.

Единственная особенность  этих программ заставляет классифицировать их как вредные троянские программы: отсутствие предупреждения об инсталляции  и запуске. При запуске троянец  устанавливает себя в системе  и затем следит за ней, при этом пользователю не выдается никаких сообщений  о действиях троянца в системе. В результате "пользователь" этой троянской программы может и  не знать о ее присутствии в  системе, в то время как его  компьютер открыт для удаленного управления.

Будучи установленными на компьютер, утилиты скрытого управления позволяют делать с компьютером  все, что в них заложил их автор: принимать/отсылать файлы, запускать  и уничтожать их, выводить сообщения, стирать информацию, перезагружать  компьютер и т.д. В результате эти троянцы могут быть использованы для обнаружения и передачи конфиденциальной информации, для запуска вирусов, уничтожения данных и т.п. - пораженные компьютеры оказываются открытыми  для действий злоумышленников.