Классификация компьютерных вирусов

1.2 Файловые вирусы 

     К данной группе относятся вирусы, которые  при своем размножении тем  или иным способом используют файловую систему какой-либо или каких-либо ОС.

     Существуют  вирусы, заражающие файлы, которые содержат исходные тексты программ, библиотечные или объектные модули. Возможна запись вируса и в файлы данных, но это  случается либо в результате ошибки вируса, либо при проявлении его агрессивных свойств. Макро-вирусы также записывают свой код в файлы данных - документы или электронные таблицы, однако эти вирусы настолько специфичны, что вынесены в отдельную группу.

     По  способу заражения файлов вирусы делятся на «overwriting», паразитические («parasitic»), компаньон-вирусы («companion»), «link»-вирусы, вирусы-черви и вирусы, заражающие объектные модули (OBJ), библиотеки компиляторов (LIB) и исходные тексты программ.

     Рассмотрим  теперь схему работы простого файлового  вируса. В отличие от загрузочных вирусов, которые практически всегда резидентны, файловые вирусы совсем не обязательно резидентны. Рассмотрим схему функционирования нерезидентного файлового вируса. Пусть у нас имеется инфицированный исполняемый файл. При запуске такого файла вирус получает управление, производит некоторые действия и передает управление «хозяину».

     Какие же действия выполняет вирус? Он ищет новый объект для заражения - подходящий по типу файл, который еще не заражен. Заражая файл, вирус внедряется в  его код, чтобы получить управление при запуске этого файла. Кроме своей основной функции - размножения, вирус вполне может сделать что-нибудь замысловатое (сказать, спросить, сыграть) - это уже зависит  от фантазии автора вируса. Если файловый вирус резидентный, то он установится в память и получит возможность заражать файлы и проявлять прочие способности не только во время работы зараженного файла. Заражая исполняемый файл, вирус всегда изменяет его код - следовательно, заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:

1. он не обязан менять длину файла
2. неиспользуемые участки кода
3. не обязан менять начало файла

     Таким образом, при запуске любого файла  вирус получает управление (операционная система запускает его сама), резидентно устанавливается в память и передает управление вызванному файлу. 

1.3 Файлово-загрузочные вирусы 

     Очень часто встречаются комбинированные  вирусы, объединяющие свойства файловых и загрузочных.

     Широко был распространен файлово-загрузочный вирус OneHalf, заражающий главный загрузочный сектор (MBR) и исполняемые файлы. Основное разрушительное действие - шифрование секторов винчестера. При каждом запуске вирус шифрует очередную порцию секторов, а, зашифровав половину жесткого диска, радостно сообщает об этом. Основная проблема при лечении данного вируса состоит в том, что недостаточно просто удалить вирус из MBR и файлов, надо расшифровать зашифрованную им информацию.

     Вирус OneHalf использует различные механизмы маскировки. Он представляет собой стелс-вирус и при распространении применяет полиморфные алгоритмы.  

1.4 Сетевые вирусы 

     К сетевым относятся вирусы, которые  для своего распространения активно  используют протоколы и возможности  локальных и глобальных сетей. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. «Полноценные» сетевые вирусы при этом обладают еще и возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску зараженного файла.

     Бытует  ошибочное мнение, что сетевым  является любой вирус, распространяющийся в компьютерной сети. Но в таком  случае практически все вирусы были бы сетевыми, даже наиболее примитивные из них: ведь самый обычный нерезидентный вирус при заражении файлов не разбирается - сетевой (удаленный) это диск или локальный. В результате такой вирус способен заражать файлы в пределах сети, но отнести его к сетевым вирусам никак нельзя.

     Наибольшую известность приобрели сетевые вирусы конца 1980-х, их также называют сетевыми червями (worms). К ним относятся вирус Морриса, вирусы «Cristmas Tree» и «Wank Worm&». Для своего распространения они использовали ошибки и недокументированные функции глобальных сетей того времени - вирусы передавали свои копии с сервера на сервер и запускали их на выполнение. В случае с вирусом Морриса эпидемия захватилай несколько глобальных сетей в США.

     Сетевые вирусы прошлого распространялись в  компьютерной сети и, как правило, так же как и компаньон-вирусы, не изменяли файлы или сектора на дисках. Они проникали в память компьютера из компьютерной сети, вычисляли сетевые адреса других компьютеров и рассылали по этим адресам свои копии. Эти вирусы иногда также создавали рабочие файлы на дисках системы, но могли вообще не обращаться к ресурсам компьютера (за исключением оперативной памяти).

     Вновь проблема сетевых вирусов возникла лишь в начале 1997-го года с появлением вирусов «Macro.Word.ShareFun» и «Win.Homer». Первый из них использует возможности электронной почты Microsoft Mail - он создает новое письмо, содержащее зараженный файл-документ («ShareFun» является макро-вирусом), затем выбирает из списка адресов MS-Mail три случайных адреса и рассылает по ним зараженное письмо. Поскольку многие пользователи устанавливают параметры MS-Mail таким образом, что при получении письма автоматически запускается MS Word, то вирус «автоматически» внедряется в компьютер адресата зараженного письма.

     Этот  вирус иллюстрирует первый тип современного сетевого вируса, который объединяет возможности встроенного в Word/Excel языка Basic, протоколы и особенности электронной почты и функции авто-запуска, необходимые для распространения вируса.

     Второй  вирус («Homer») использует для своего распространения протокол FTP (File Trabsfer Protocol) и передает свою копию на удаленный ftp-сервер в каталог Incoming. Поскольку сетевой протокол FTP исключает возможность запуска файла на удаленном сервере, этот вирус можно охарактеризовать как «полусетевой», однако это реальный пример возможностей вирусов по использованию современных сетевых протоколов и поражению глобальных сетей.

     Вирус W32.Blaster.Worm (другое название LoveSun)

     Поразив компьютер, червь производит сканирование произвольных IP-адресов по порту 135 (сначала в локальной подсети, а затем за ее пределами) в поисках новых потенциальных жертв, то есть систем с уязвимостью DCOM RPC.

     Найдя такой компьютер, червь посылает на его порт 135 специально сконструированный  запрос, который имеет целью предоставить "атакующему" компьютеру полный доступ к "атакуемому", а в случае удачи - открыть порт 4444 для прослушивания и ожидания последующих команд. Одновременно червь слушает порт 69 UDP на первоначально зараженном компьютере и, когда от новой жертвы к нему поступает TFTP-запрос, посылает в ответ команду загрузить свой собственный код (файл msblast.exe). Этот код помещается в системный каталог Windows и запускается, при этом прописывая ссылку на самого себя в системный реестр Windows c целью автоматического запуска червя при старте последующих сессий Windows.

     С этого момента новая жертва начинает действовать, как самостоятельный  источник заражения.

     Так же известны варианты червя B и C, поэтому могут измениться как результаты, так и признаки заражения (например, вместо msblast.exe файл червя может называться penis32.exe, хотя и с сохранением содержимого). Symantec Corp отметила за один день увеличение числа червей до 40%, что привело к заражению 188 тыс. компьютеров. По другим данным, за 24 часа червь заразил более миллиона хостов. Однако производительность сайта Microsoft не пострадала (согласно Keynote Systems Inc), ведь червяк хорошо "виден" в системе, поскольку настойчиво ее перезагружает. Атака червя должна была начаться в 07-00 час утра в пятницу, что по странному стечению обстоятельств совпало с глобальным отключением электроэнергии в Нью-Йорке.

     О создателе вируса:

     Washington Post сообщил, что новоявленным компьютерным гением оказался 18-летний гражданин США. Его имя и местонахождение не разглашается.

     В итоге мир столкнулся с довольно таки задиристым вирусом, создатель которого юный, можно сказать, гений. Bирус, а так же его разновидности, по сведениям компании Symantec Corp., поразил до 500 тыс. компьютеров по всему миру.

     Как понять, заражен ли мой компьютер:

      - наличие файлов "MSBLAST.EXE", "TEEKIDS.EXE" или "PENIS32.EXE" в системном каталоге Windows (обычно WINDOWS\SYSTEM32\)

     - внезапная перезагрузка компьютера после соединения с Интернетом каждые несколько минут.

     - многочисленные сбои в работе  программ Word, Excel и Outlook.

     - сообщения об ошибках, вызванных файлом "SVCHOST.EXE"

     - появление на экране окна с сообщением об ошибке (RPC Service Failing).

     Я полагаю, такое вот окно, видели многие из тех, у кого установлен Windows XP и кто пользуются Интернетом. Этот скромный вирус, на первый взгляд, портит жизнь человеку напрочь. Делает он это очень легко, перезагружая компьютер. Вроде бы ничего в этом особо плохого нет, но, с каждым разом, этот зловредный вирус делает это всё чаще. Мало того, при активизации вируса не возможны некоторые команды, к примеру, Copy.

     Так вот, есть несколько способов, как  от этого “скромняги” избавится:

     1. Первый способ и самый простой (от этого вирус продолжает жить на компьютере, но всё же не рестартит компьютер, значит можно работать). Заходим в Date & Time Properties, что можно сделать двойным нажатием левой кнопки мышки по часам в правом нижнем углу экрана, и отгоняем часы назад (на сутки).

     2. Способ второй (деактивирует вирус, после чего он перестает “доставать” пользователя перезагрузкой компьютера). Необходимо поставить “заплатку”, которую можно найти на сайте Microsoft, попросту сделав Windows Update. 

1.5 Макро-вирусы 

     Макро-вирусы (macro viruses) являются программами на языках (макро-языках), встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.д.). Для своего размножения такие вирусы используют возможности макро-языков и при их помощи переносят себя из одного зараженного файла (документа или таблицы) в другие. Наибольшее распространение получили макро-вирусы для Microsoft Word, Excel и Office. Существуют также макро-вирусы, заражающие документы Ami Pro и базы данных Microsoft Access.

     Для существования вирусов в конкретной системе (редакторе) необходимо наличие  встроенного в систему макро-языка  с возможностями:

     1. привязки программы на макро-языке  к конкретному файлу;

     2. копирования макро-программ из  одного файла в другой;

     3. возможность получения управления макро-программой без вмешательства пользователя (автоматические или стандартные макросы).

     Данным условиям удовлетворяют редакторы Microsoft Word, Office и AmiPro, а также электронная таблица Excel и база данных Microsoft Access. Эти системы содержат в себе макро-языки: Word - Word Basic, Excel, Office97 (включая Word, Excel и Access) - Visual Basic for Applications.

     На  сегодняшний день известны четыре системы, для которых существуют вирусы —  Microsoft Word, Excel, Office и AmiPro. В этих системах вирусы получают управление при открытии или закрытии зараженного файла, перехватывают стандартные файловые функции и затем заражают файлы, к которым каким-либо образом идет обращение. По аналогии с MS-DOS можно сказать, что большинство макро-вирусов являются резидентными: они активны не только в момент открытия/закрытия файла, но до тех пор, пока активен сам редактор. 

1.6 Резидентные вирусы 

     Под термином "резидентность" (DOS'овский термин TSR - Terminate and Stay Resident) понимается способность вирусов оставлять свои копии в системной памяти, перехватывать некоторые события (например, обращения к файлам или дискам) и вызывать при этом процедуры заражения обнаруженных объектов (файлов и секторов). Таким образом, резидентные вирусы активны не только в момент работы зараженной программы, но и после того, как программа закончила свою работу. Резидентные копии таких вирусов остаются жизнеспособными вплоть до очередной перезагрузки, даже если на диске уничтожены все зараженные файлы. Часто от таких вирусов невозможно избавиться восстановлением всех копий файлов с дистрибутивных дисков или backup-копий. Резидентная копия вируса остается активной и заражает вновь создаваемые файлы. То же верно и для загрузочных вирусов — форматирование диска при наличии в памяти резидентного вируса не всегда вылечивает диск, поскольку многие резидентные вирусы заражают диск повторно после того, как он отформатирован. 

1.7 Нерезидентные вирусы 

     Нерезидентные вирусы, напротив, активны довольно непродолжительное время – только в момент запуска зараженной программы. Для своего распространения они  ищут на диске незараженные файлы и записываются в них. После того, как код вируса передает управление программе – носителю, влияние вируса на работу операционной системы сводится к нулю вплоть до очередного запуска какой-либо зараженной программы.