Классификация компьютерных вирусов

Введение 

     Компьютеры  стали настоящими помощниками человека и без них уже не может обойтись ни коммерческая фирма, ни государственная  организация. Однако в связи с  этим особенно обострилась проблема защиты информации.

     Вирусы, получившие широкое распространение в компьютерной технике, взбудоражили весь мир. Многие пользователи компьютеров обеспокоены слухами о том, что с помощью компьютерных вирусов злоумышленники взламывают сети, грабят банки, крадут интеллектуальную собственность...

     Сегодня массовое применение персональных компьютеров, к сожалению, оказалось связанным с появлением самовоспроизводящихся программ-вирусов, препятствующих нормальной работе компьютера, разрушающих файловую структуру дисков и наносящих ущерб хранимой в компьютере информации.

     Все чаще в средствах массовой информации появляются сообщения о различного рода пиратских проделках компьютерных хулиганов, о появлении все более совершенных, саморазмножающихся программ. Несмотря на принятые во многих странах законы о борьбе с компьютерными преступлениями и разработку специальных программных средств защиты от вирусов, количество новых программных вирусов постоянно растет. Это требует от пользователя персонального компьютера знаний о природе вирусов, способах заражения вирусами и защиты от них.

     Борьбой с компьютерными вирусами профессионально  занимаются сотни или тысячи специалистов в десятках, а может быть, сотнях компаний. Казалось бы, тема эта не настолько сложна и актуальна, чтобы быть объектом такого пристального внимания. Однако это не так. Компьютерные вирусы были и остаются одной из наиболее распространенных причин потери информации. Известны случаи, когда вирусы блокировали работу организаций и предприятий. Более того, несколько лет назад был зафиксирован случай, когда компьютерный вирус стал причиной гибели человека - в одном из госпиталей Нидерландов пациент получил летальную дозу морфия по той причине, что компьютер был заражен вирусом и выдавал неверную информацию.

     Несмотря  на огромные усилия конкурирующих между  собой антивирусных фирм, убытки, приносимые компьютерными вирусами, не падают и достигают астрономических величин в сотни миллионов долларов ежегодно. Эти оценки явно занижены, поскольку известно становится лишь о части подобных инцидентов.

     При этом следует иметь в виду, что  антивирусные программы и «железо» не дают полной гарантии защиты от вирусов. Случается так, что пользователи и профессионалы-программисты часто не имеют даже навыков «самообороны», а их представления о вирусе порой являются настолько поверхностными, что лучше бы их представлений и не было. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

1. Классификация компьютерных вирусов 

     В зависимости от проявления и дальнейшего  поведения вирусы условно можно  разделить на следующие группы:

     «черви» (при размножении «черви» копируют свой код в различные каталоги дисков в надежде, что эти новые копии будут когда-либо случайно запущены пользователем. Иногда эти вирусы дают своим копиям "специальные" имена, чтобы подтолкнуть пользователя на запуск подобного файла - например, "install.exe" или "winstart.bat");

     троянские кони (приложение, которое призвано незаметно и несанкционированно собирать данные и передавать их создателю вируса…);

     программы группы риска (программное обеспечение, работа с которым несет в себе долю риска. Например, Internet Explorer. В нем содержится много ошибок, поэтому работа с ним может стать причиной заражения вирусом или проникновения хакера.);

     непосредственно вирусы (программа, способная самопроизвольно присоединяться к другим программам и при запуске последних выполнять различные нежелательные действия: порчу файлов и каталогов; искажение результатов вычислений; засорение или стирание памяти; создание помех в работе компьютера.) 

Вирусы классифицируются по следующим основным признакам:

     1. среда обитания

     2. способ заражения

     3. степень воздействия

     4. особенности алгоритма работы 

По среде  обитания вирусы можно разделить  на:

     1. файловые

     2. загрузочные

     3. файлово-загрузочные

     4. сетевые

     5. макро-вирусы 

По способу  заражения вирусы делятся на:

     1. резидентные

     2. нерезидентные 

По степени  воздействия вирусы можно разделить  на следующие виды:

     1. неопасные, не мешающие работе компьютера, но уменьшающие объем свободной оперативной памяти и памяти на дисках, действия таких вирусов проявляются в каких-либо графических  или звуковых эффектах.

     2. опасные вирусы, которые могут  привести к различным нарушениям  в работе компьютера.

     3. очень опасные, воздействие которых  может привести к потере программ, уничтожению данных, стиранию информации  в системных областях диска.

     По  особенностям алгоритма вирусы трудно классифицировать из-за большого разнообразия. Простейшие вирусы - паразитические, они изменяют содержимое файлов и секторов диска и могут быть достаточно легко обнаружены и уничтожены. Можно отметить вирусы-репликаторы, называемые червями, которые распространяются по компьютерным сетям, вычисляют адреса сетевых компьютеров и записывают по этим адресам свои копии.

     Известны  вирусы-невидимки, называемые стелс-вирусами, которые очень трудно обнаружить и обезвредить, так как они  перехватывают обращения операционной системы к пораженным файлам и секторам дисков и подставляют вместо своего тела незараженные участки диска. Наиболее трудно обнаружить вирусы-мутанты, содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов. Имеются и так называемые квазивирусные или «троянские» программы, которые  хотя и не способны к самораспространению, но очень опасны, так как, маскируясь под полезную программу, разрушают загрузочный сектор и файловую систему дисков. 

1.1 Загрузочные вирусы 

     Загрузочные вирусы заражают загрузочный (boot) сектор флоппи-диска и boot-сектор или Master Boot Record (MBR) винчестера. Принцип действия загрузочных вирусов основан на алгоритмах запуска операционной системы при включении или перезагрузке компьютера - после необходимых тестов установленного оборудования программа системной загрузки считывает первый физический сектор загрузочного диска (A:, C: или CD-ROM в зависимости от параметров, установленных в BIOS Setup) и передает на него управление.

     В случае дискеты или компакт-диска  управление получает boot-сектор, который анализирует таблицу параметров диска (BPB - BIOS Parameter Block), высчитывает адреса системных файлов операционной системы, считывает их в память и запускает на выполнение.

     При заражении дисков загрузочные вирусы «подставляют» свой код вместо какой-либо программы, получающей управление при  загрузке системы. Принцип заражения, таким образом, одинаков во всех описанных  выше способах: вирус "заставляет" систему при ее перезапуске считать в память и отдать управление не оригинальному коду загрузчика, а коду вируса.

     Заражение дискет производится единственным известным  способом — вирус записывает свой код вместо оригинального кода boot-сектора дискеты.  Винчестер заражается тремя возможными способами - вирус записывается либо вместо кода MBR, либо вместо кода boot-сектора загрузочного диска (обычно диска C:), либо модифицирует адрес активного boot-сектора в Disk Partition Table, расположенной в MBR винчестера.

     При инфицировании диска вирус в  большинстве случаев переносит  оригинальный boot-сектор (или MBR) в какой-либо другой сектор диска (например, в первый свободный). Если длина вируса больше длины сектора, то в заражаемый сектор помещается первая часть вируса, остальные части размещаются в других секторах (например, в первых свободных).

     Существует  несколько вариантов размещения на диске первоначального загрузочного сектора и продолжения вируса: в сектора свободных кластеров  логического диска, в неиспользуемые или редко используемые системные сектора, в сектора, расположенные за пределами диска.

     Если  продолжение вируса размещается  в секторах, которые принадлежат  свободным кластерам диска (при  поиске этих секторов вирусу приходится анализировать таблицу размещения файлов - FAT), то, как правило, вирус помечает в FAT эти кластеры как сбойные (так называемые псевдосбойные кластеры). Этот способ используется вирусами «Brain», «Ping-Pong» и некоторыми другими.

     В вирусах семейства «Stoned» задействован другой метод. Эти вирусы размещают первоначальный загрузочный сектор в неиспользуемом или редко используемом секторе — в одном из секторов винчестера (если такие есть), расположенных между MBR и первым boot-сектором, а на дискете такой сектор выбирается из последних секторов корневого каталога.

     Конечно, существуют и другие методы размещения вируса на диске, например, вирусы семейства  «Azusa» содержат в своем теле стандартный загрузчик MBR и при заражении записываются поверх оригинального MBR без его сохранения.

     Рассмотрим  схему функционирования очень простого загрузочного вируса, заражающего дискеты.

     Что  происходит, когда вы включаете компьютер? Первым делом управление передается программе начальной загрузки, которая  хранится в постоянно запоминающем устройстве (ПЗУ) т.е. ПНЗ ПЗУ.

     Эта программа тестирует оборудование и при успешном завершении проверок пытается найти дискету в дисководе  А:

     Всякая  дискета размечена на так называемые секторы и дорожки. Секторы объединяются в кластеры, но это для нас несущественно.

     Среди секторов есть несколько служебных, используемых операционной системой для  собственных нужд (в этих секторах  не могут размещаться ваши данные). Среди служебных секторов нас  интересует  сектор начальной загрузки (boot-sector).

     В секторе начальной загрузки хранится информация о дискете - количество поверхностей, количество дорожек, количество секторов и прочее. Но нас интересует не эта информация, а небольшая программа начальной загрузки (ПНЗ), которая должна загрузить саму операционную систему и передать ей управление.

     Таким образом, нормальная схема начальной  загрузки следующая:

     ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

     Теперь  рассмотрим вирус. В загрузочных  вирусах выделяют две части:       голову и так называемый хвост. Хвост  может быть пустым.

     Пусть у вас имеются чистая дискета  и зараженный компьютер, под которым  мы понимаем компьютер с активным резидентным вирусом. Как только этот вирус обнаружит, что в дисководе  появилась подходящая жертва - в  нашем случае не защищенная от записи и еще не зараженная дискета, он приступает к заражению. Заражая дискету, вирус производит следующие действия:

     выделяет  некоторую область диска и  помечает ее как недоступную операционной системе, это можно сделать по-разному, в простейшем и традиционном случае занятые вирусом секторы помечаются как сбойные (bad), копируют в выделенную область диска свой хвост и оригинальный (здоровый) загрузочный сектор замещает программу начальной загрузки в загрузочном секторе (настоящем) своей головой, организует цепочку передачи управления согласно схеме.

     Таким образом, голова вируса теперь первой получает управление, вирус устанавливается  в память и передает управление оригинальному  загрузочному сектору. В цепочке

     ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

     появляется  новое звено:

     ПНЗ (ПЗУ) - ВИРУС - ПНЗ (диск) - СИСТЕМА

     Мы  рассмотрели схему функционирования простого бутового вируса, живущего в  загрузочных секторах дискет. Как  правило, вирусы способны заражать не только загрузочные секторы  дискет, но и загрузочные секторы винчестеров. При этом в отличие от дискет на винчестере имеются два типа загрузочных секторов, содержащих программы начальной загрузки, которые получают управление. При загрузке компьютера с винчестера первой берет на себя управление программа начальной загрузки в MBR (Master Boot Record - главная загрузочная запись). Если ваш жесткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочный (boot). Программа начальной загрузки в MBR находит загрузочный раздел винчестера и передает управление на программу начальной загрузки этого раздела. Код последней совпадает с кодом программы начальной загрузки, содержащейся на обычных дискетах, а соответствующие  загрузочные секторы отличаются только таблицами параметров. Таким образом, на винчестере имеются два объекта атаки загрузочных вирусов - программа начальной загрузки в MBR и программа начальной загрузки в бут-секторе загрузочного диска.