Вперед  Содержание


УРОК 7

КОМПЬЮТЕРНЫЕ ВИРУСЫ

7.1. Вирусы и их разновидности

    Компьютерный вирус - это специально написанная небольшая по размерам программа, которая может искажать и уничтожать информацию в компьютерах, к которым имеется доступ, "приписывать" себя к другим программам (т.е. "заражать" их), а также выполнять различные нежелательные действия на компьютере. Они могут замедлять и останавливать работу информационно- вычислительных сетей, уменьшать доступный объем оперативной памяти и даже собирать конфиденциальную и секретную информацию. Программа, внутри которой находится вирус, называется "зараженной". Когда такая программа начинает работу, то сначала управление получает вирус. Вирус находит и "заражает" другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения файлов на диске, засоряет оперативную память и т.д.). Для маскировки вируса действия по заражению других программ и нанесению вреда могут выполняться не всегда, а, скажем, при выполнении определенных условий. После того как вирус выполнит нужные ему действия, он передает управление той программе, в которой он находится, и она работает так же, как обычно. Тем самым внешне работа зараженной программы выглядит так же, как и незараженной.
    Многие разновидности вирусов устроены так, что при запуске зараженной программы вирус остается резидентно, т.е. до перезагрузки DOS, в памяти компьютера и время от времени заражает программы и выполняет вредные действия на компьютере.
    Все действия вируса могут выполняться достаточно быстро и без выдачи каких-либо сообщений, поэтому пользователю очень трудно заметить, что в компьютере происходит что-то необычное.
Пока на компьютере заражено относительно мало программ, наличие вируса может быть практически незаметно. Однако после некоторого промежутка времени на компьютере начинает твориться что-то странное, например:
        - некоторые программы перестают работать или начинают работать неправильно;
        - на экран выводятся посторонние сообщения, символы и т.д.;
        - работа на компьютере существенно замедляется;
        - некоторые файлы оказываются испорченными и т.д. К этому моменту, как правило, уже достаточно много (или даже большинство) тех программ, которыми Вы пользуетесь, являются зараженными вирусом, а некоторые файлы и диски - испорченными. Более того, зараженные программы с Вашего компьютера мощи быть уже перенесены с помощью дискет или по локальной сети на компьютеры Ваших коллег и друзей.
    Некоторые разновидности вирусов ведут себя еще более коварно. Они вначале незаметно заражают большое число программ или дисков, а потом причиняют очень серьезные повреждения, например форматируют весь жесткий диск на компьютере. А бывают вирусы, которые стараются вести себя как можно более незаметно, но понемногу и постепенно портят данные на жестком диске компьютера.
    Таким образом, если не предпринимать мер по защите от вируса, то последствия заражения компьютера могут быть очень серьезными. В настоящее время вирусы разделяют на две основные группы:
        - резидентные вирусы;
        - нерезидентные вирусы.
    Резидентные вирусы при запуске на выполнение "зараженной" программы активизируются, копируют себя в оперативную память компьютера и в течение определенного интервала времени никак себя не проявляют, для того чтобы труднее было выявить источник заражения.
    Затем вирус снова активизируется и начинает отслеживать операции обращения к дискам. При обращении пользователя или прикладной программы к диску вирус находит на диске подходящий для своего внедрения файл и копирует себя в него на фоне выполнения основной операции. Поэтому невозможно определить момент записи вируса на диск.
Нерезидентные вирусы не записывают себя в оперативную память компьютера, а активизируются при запуске на выполнение "зараженной" программы. При этом вирус ищет подходящий для своего внедрения файл в текущем каталоге, а также в каталогах, указанных в команде РАТH файла автозапуска. Он дописывает себя к найденному файлу и изменяет ход его выполнения так, чтобы при запуске файла вначале выполнялась программа-вирус, а затем уже сама программа.

7.2. Испорченные и зараженные файлы

    Компьютерный вирус может испортить любой файл на имеющихся в компьютере дисках. Но некоторые виды файлов вирус может "заразить" сразу. Это означает, что вирус может "внедриться" в эти файлы, т.е. изменить их так, что они будут содержать вирус, который при некоторых обстоятельствах может начать свою работу. Вирусом могут быть "заражены" следующие виды файлов:
    1. Исполнимые файлы, т.е. файлы с расширениями имени .сом и .exе, а также оверлейные файлы, загружаемые при выполнении других программ. Вирусы, заражающие файлы, называются файловыми. Вирус в зараженных исполнимых файлах начинает свою работу при запуске той программы, в которой он находится. Наиболее опасны те файловые вирусы, которые после своего запуска остаются в памяти резидентно - они могут заражать файлы и вредить до следующей перезагрузки компьютера. А если они заразят любую программу, запускаемую из файла AUTOEXEC.BAT или CONFIG.SYS, то и при перезагрузке с жесткого диска вирус снова начнет свою работу.
    2. Загрузчик операционной системы и главная загрузочная запись жесткого диска. Вирусы, поражающие эти области, называются загрузочными, или Bootвирусы. Такой вирус начинает свою работу при начальной загрузке компьютера и становится резидентным, т.е. постоянно находится в памяти компьютера. Механизм распространения - заражение загрузочных записей вставляемых в компьютер дискет. Часто такие вирусы состоят из двух частей, поскольку загрузочная запись и главная загрузочная запись имеют небольшой размер и в них трудно разместить целиком программу вируса. Часть вируса, не помещающаяся в них, располагается в другом участке диска, например в конце корневого каталога диска или в кластере в области данных диска (обычно такой кластер объявляется дефектным, чтобы программа вируса не была затерта при записи данных на диск).
    3. Драйверы устройств, т.е. файлы, указываемые в предложении Device файла CONFIG-SYS. Вирус, находящийся в них, начинает свою работу при каждом обращении к соответствующему устройству. Вирусы, заражающие драйверы устройств, очень мало распространены, поскольку драйверы редко переписывают с одного компьютера на другой. То же относится и к системным файлам DOS (MSDOS.SYS и IO-SYS) - их заражение также теоретически возможно, но для распространения вирусов малоэффективно.
    Как правило, каждая конкретная разновидность вируса может заражать только один или два типа файлов. Чаще всего встречаются вирусы, заражающие исполнимые файлы. На втором месте по распространенности - загрузочные вирусы. Вирусы, заражающие драйверы устройств, встречаются крайне редко, обычно такие вирусы умеют заражать и исполнимые файлы.
    4. Вирусы, меняющие файловую систему. В последнее время получили распространение вирусы нового типа - вирусы, меняющие файловую систему на диске. Эти вирусы обычно называются DIR. Такие вирусы прячут свое тело в некоторый участок диска (обычно - в последний кластер диска) и помечают его в таблице размещения файлов (FAT) как конец файла. Для всех .СОМ- и .ЕХЕ- файлов содержащиеся в соответствующих элементах каталога указатели на первый участок файла заменяются ссылкой на участок диска содержащий вирус, а правильный указатель в закодированном виде прячется в неиспользуемой части элемента каталога. Поэтому при запуске любой программы в память загружается вирус, после чего он остается в памяти резидентно, подключается к программам DOS для обработки файлов на диске и при всех обращениях к элементам каталога выдает правильные ссылки.
    Таким образом, при работающем вирусе файловая система на диске кажется совершенно нормальной. При поверхностном просмотре зараженного диска на "чистом" компьютере также ничего странного не наблюдается. Разве лишь при попытке прочесть или скопировать с зараженной дискеты программные файлы из них будут прочтены или скопированы только 512 или 1024 байта, даже если файл гораздо длиннее. А при запуске любой исполнимой программы с зараженного таким вирусом диска этот диск, как по волшебству, начинает казаться исправным (неудивительно, ведь компьютер при этом становится зараженным). Для исправления зараженных этими вирусами дисков надо использовать только специальные антивирусные программы (например, последние версии Aidstest).
    5. "Невидимые" и самомодифицирующиеся вирусы. Чтобы предотвратить свое обнаружение, некоторые вирусы применяют довольно хитрые приемы маскировки. Мы расскажем о двух из них: "невидимых" и самомодифицирующихся вирусах.
    "Невидимые" вирусы. Многие резидентные вирусы (и файловые, и загрузочные) предотвращают свое обнаружение тем, что перехватывают обращения DOS к зараженным файлам и областям диска и выдают их в исходном (незараженном) веще. Этот эффект наблюдается только на зараженном компьютере - на "чистом" (без вирусов) компьютере изменения в файлах и загрузочных областях дискеты можно легко обнаружить.
    Самомодифицирующиеся вирусы. Другой способ, применяемый вирусами для того, чтобы укрыться от обнаружения, - модификация своего тела. Многие вирусы хранят большую часть своего тела в закодированном виде, чтобы с помощью дизассемблеров нельзя было разобраться в механизме их работы. Самомодифицирующиеся вирусы используют этот прием и часто меняют параметры этой кодировки, а кроме того, изменяют и свою стартовую часть, которая служит для раcкодировки остальных команд вируса. Таким образом, в теле подобного вируса не имеется ни одной постоянной цепочки байтов, по которым можно было бы идентифицировать вирус. Это, естественно, затрудняет нахождение таких вирусов программами-детекторами.

7.3. Краткая классификация компьютерных вирусов

    В настоящее время известно около 10 000 компьютерных вирусов. Их обычно классифицируют по целям, логике работы, области функционирования и размеру.
    По логике работы и области функционирования их условно можно разделить на:
    1. "Вирусы-ловушки" - используют ошибки и неточности в комплексе программных средств. Активизируются, как правило, при отладке больших программ. Выполняют различные деструктивные функции.
    2. "Логическиебомбы" ("бомбы" замедленного действия) - скрываются в обычных программах пользователей, активизируются при наступлении определенных условий (определенные даты, события, этап работы программы). До наступления этого момента (активизации вируса) старается заразить как можно больше программ.
    3. "Черви" - маскируются под программные средства, которые используют системные программисты для нахождения свободных в данный момент времени ресурсов информационно-вычислительных сетей. 'Черви", выявив свободные устройства, заставляют их работать в холостую. Например, вводят их в бесконечный цикл, заставляют распечатывать ненужные данные.
    4. "Троянскиекони" - маскируются под обычные прикладные программы, дополнительно выполняя несанкционированные действия (просмотр и запоминание конфиденциальной или секретной информации, считывание оперативной памяти для передачи их на "сторону"). Наиболее распространены в связи с простотой создании и легкостью размножения их в программной сети.

Классификация компьютерных вирусов

По размеру (длине)

По логике функционирования

По области

По целям функционирования

"А" до 648 байт

"ловушки"

в ПЭВМ

"гуманные"

"В" до 1701 байт

"С" до 1808 байт

"логические бомбы"

во многомашинных комплексах

шантажирующие

"D" до 10000 байт

"черви"

в информационно вычислительных сетях

 

"Е" до 120000 байт

"троянские кони"

"N" до 150000 байт

"тигры"

"Z" более 150000 байт

 

в информационных сетях, в сетях ЭВМ

"бессмысленные", пропагандистские

    По размеру вирусы согласно классификации Д.Н. Лозинского в одной из наиболее распространенных антивирусных программ семейства Aids - делятся на семь групп.

7.4. Основные методы защиты от вирусов

    Компьютерные вирусы проникают в "чистый" компьютер при копировании информации с гибких дисков, содержащих "зараженные" программы. Распространение вирусов становится наиболее широким в случае, когда ПЭВМ соединены в единую сеть.
    При этом некоторые типы вирусов проявляют себя (активизируются) сразу после попадания в компьютер, другие имеют так называемый "инкубационный период", в течение которого вирус не проявляется, но активно "размножается", и активизируется только при наступлении определенного события (прошел определенный промежуток времени, вирус скопировал сам себя определенное число раз и т. п.). Для защиты от вирусов можно использовать:
        - общие средства защиты информации, которые полезны также и как - страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователей,
        - профилактические меры, позволяющие уменьшить вероятность заражения вирусом;
        - специализированные программы для защиты от вирусов.
    Общие средства защиты информации полезны не только для защиты от вируса. Имеются две основные разновидности этих средств:
        1. Копирование информации - создание копий файлов и системных областей дисков;
        2. Разграничение доступа - предотвращает несанкционированное использование информации, в частности защиту от  изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.
    Несмотря на то, что общие средства защиты информации очень важны для защиты от вирусов, все же их одних недостаточно. Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно разделить на несколько видов: детекторы, доктора (фаги), ревизоры (программы контроля изменений в файлах и системных областях дисков), доктора-ревизоры, фильтры (резидентные программы для защиты от вирусов) и вакцины (иммунизаторы).
Антивирусные программы можно разделить на три основные группы:
        - программы, работа которых основана на запоминании различных контрольных сумм для данных в файле;
        - резидентные программы, которые обнаруживают вирусы в момент заражения ими программ или повреждения операционной системы;
        - программы, которые определяют наличие вирусов в файлах после их заражения.
    При запуске на выполнение антивирусных программ, работа которых основана на запоминании специальных характеристик файла, они проверяют эти характеристики данных в файлах с ранее зафиксированными значениями. Если в файл внедрился вирус, то характеристики не совпадут и программа выдаст предупреждающее сообщение. Таким способом можно обнаружить внедрение даже такого вируса, который еще не известен. Однако необходимо защищать ранее записанные характеристики от изменения их вирусом. Недостатком данных программ является то, что несовпадение характеристик может являться не только результатом деятельности вирусов. Некоторые программы должны запоминать текущую настройку своей работы, записывая текущие параметры непосредственно в исполняемый файл, а это приводит к выдаче антивирусной программой ошибочных сообщений. Другим недостатком этих программ является также то, что необходимо быть абсолютно уверенным в том, что новая программа, записываемая на диск, не содержит вируса, так как контрольные суммы для нее еще не известны. Кроме того, эти антивирусные программы требуют много времени на проверку и создают большие файлы с контрольными характеристиками. При записи нового файла на диск, при копировании и переименовании файла необходимо сообщать этим программам обо всех изменениях.
    Программы-детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов.
    Программы-доктора, или фата "лечат" зараженные программы или диски, "выкусывая" из зараженных программ тело вируса, т.е. восстанавливая программу в том состоянии, в котором она находилась до заражения вирусом.
    Программы-ревизоры сначала запоминают сведения о состоянии программ и системных областей дисков, а затем сравнивают их состояние с исходным. При выявлении несоответствий об этом сообщается пользователю.
    Доктора-ревизоры - это гибриды ревизоров и докторов, т.е. программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние.
    Программы-фильтры располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователю. Пользователь может разрешить или запретить выполнение соответствующей операций.
    Программы-вакцины или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны.
    Самая распространенная программа-антивирус - Aidstest Д.Лозинского. Она непрерывно обновляется, пополняясь сведениями о все новых вирусах. Чтобы избежать заражения от компьютерных вирусов, достаточно просто проверять время от времени антивирусом жесткий диск в профилактических целях: aidstest с: Если обнаружен какой-либо вирус, диск надо лечить: aidstest с: /f.
    Чтобы проверить не только программы, но и все остальные файлы, надо ввести: aidstest с: /f /g.
    Есть и такая программа, мощный полифаг Doctor Web И. Данилова. Запускается он командой: web с: /f (старые версии программы) или просто drweb - (версии З и выше), и тогда Вы попадаете в оболочку программы, где можно задать ваши действия (лечить или просмотреть), а также какое устройство Вы хотели бы проверить. Новые вирусы появляются ежедневно, поэтому важно иметь наиболее новые версии антивирусных программ.
    При заражении компьютера вирусом важно соблюдать следующие правила:
        1. Прежде всего не надо торопиться и принимать опрометчивых решений.
        2. Тем не менее одно действие должно быть выполнено немедленно надо выключить компьютер, чтобы вирус не продолжал своих разрушительных действий.
        3. Если у вас имеются программы-детекторы для обнаружения и уничтожения того вируса, которым заражен компьютер, следует запустить эти программы для проверки дисков компьютера.
        4. Далее следует последовательно обезвредить все диски, которые могли подвергнуться заражению вирусом.
        5. Если на диске для всех нужных файлов имеются копии в архиве, проще всего заново отформатировать диск, а затем восстановить все файлы на этом диске с помощью архивных копий.
    Меры которые позволяют уменьшить вероятность заражения компьютера вирусом, а также свести к минимуму ущерб от заражения вирусом, если оно все-таки произойдет. Меры по защите от вирусов можно разбить на несколько групп:
        1. Копирование информации и разграничение доступа.
        2. Проверка поступающих извне данных.
        3. Подготовка "ремонтного набора".
        4. Защита от загрузочных вирусов.
        5. Периодическая проверка на наличие вирусов.
        6. Покупка программного обеспечения у официальных продавцов.
 

        Контрольные вопросы

1. Что такое компьютерный вирус?
2. Какие виды файлов могут быть заражены вирусом?
3. Что такое "Невидимые" вирусы?
4. Что такое "Самомодифицирующиеся" вирусы?
5. Что могут и чего не могут компьютерные вирусы?
6. Каковы основные методы защиты от компьютерных вирусов?
7. Широко используемые антивирусные программы.
8. Меры по защите от компьютерных вирусов.


Вперед  Содержание