Вирусы не заражающие память компьютера и являющиеся активными ограниченное время

Обновлено: 04.07.2024

Компьютерный вирус - это специально написанная, небольшая по размерам программа (т.е. некоторая совокупность выполняемого кода), которая может "приписывать" себя к другим программам ("заражать" их), создавать свои копии и внедрять их в файлы, системные области компьютера и т.д., а также выполнять различные нежелательные действия на компьютере.

Программа, внутри которой находится вирус, называется "зараженной". Когда такая программа начинает работу, то сначала управление получает вирус. Вирус находит и "заражает" другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения файлов на диске, "засоряет" оперативную память и т.д.). Для маскировки вируса действия по заражению других программ и нанесению вреда могут выполняться не всегда, а, скажем, при выполнении определенных условий.

Например, вирус Anti - MIT ежегодно 1 декабря разрушает всю информацию на жестком диске, вирус Tea Time мешает вводить информацию с клавиатуры с 15:10 до 15:13, а знаменитый One Half , в течение всего прошлого года «гулявший» и по нашему городу, незаметно шифрует данные на жестком диске. В 1989 году американский студент сумел создать вирус, который вывел из строя около 6000 компьютеров Министерства обороны США. Эпидемия известного вируса Dir - II разразилась в 1991 году. Вирус использовал действительно оригинальную, принципиально новую технологию и на первых порах сумел широко распространиться за счет несовершенства традиционных антивирусных средств. Кристоферу Пайну удалось создать вирусы Pathogen и Queeq , а также вирус Smeg . Именно последний был самым опасным, его можно было накладывать на первые два вируса, и из-за этого после каждого прогона программы они меняли конфигурацию. Поэтому их было невозможно уничтожить. Чтобы распространить вирусы, Пайн скопировал компьютерные игры и программы, заразил их, а затем отправил обратно в сеть. Пользователи загружали в свои компьютеры, зараженные программы и инфицировали диски. Ситуация усугубилась тем, что Пайн умудрился занести вирусы и в программу, которая с ними борется. Запустив ее, пользователи вместо уничтожения вирусов получали еще один. В результате этого были уничтожены файлы множества фирм, убытки составили миллионы фунтов стерлингов.

Широкую известность получил американский программист Моррис. Он известен как создатель вируса, который в ноябре 1988 года заразил порядка 7 тысяч персональных компьютеров, подключенных к Internet .

Первые исследования саморазмножающихся искусственных конструкций проводились в середине нынешнего столетия. Термин «компьютерный вирус» появился позднее - официально его автором считается сотрудник Лехайского университета (США) Ф.Коэн в 1984 году на седьмой конференции по безопасности информации.

Эксперты считают, что на сегодняшний день число существующих вирусов перевалило за 20 тысяч, причем ежедневно появляется от 6 до 9 новых. «Диких», то есть реально циркулирующих вирусов в настоящее время насчитывается около 260.

Один из авторитетнейших «вирусологов» страны Евгений Касперский предлагает условно классифицировать вирусы по следующим признакам :

по среде обитания вируса

по способу заражения среды обитания

по деструктивным возможностям

по особенностям алгоритма вируса.

Более подробную классификацию внутри этих групп можно представить примерно так :

распространяются по компьютерной сети

внедряются в выполняемые файлы

внедряются в загрузочный сектор диска ( Boot - сектор)

находятся в памяти, активны до выключения компьютера

не заражают память, являются активными ограниченное время

практически не влияют на работу; уменьшают свободную память на диске в результате своего распространения

уменьшают свободную память, создают звуковые, графические и прочие эффекты

могут привести к серьезным сбоям в работе

могут привести к потере программ или системных данных

вирусы, не изменяющие файлы, создают для ЕХЕ-файлов файлы-спутники с расширением ,СОМ

распространяются по сети, рассылают свои копии, вычисляя сетевые адреса

изменяют содержимое дисковых секторов или файлов

примитив, содержат большое количество ошибок

перехватывают обращения DOS к пораженным файлам или секторам и подставляют вместо себя незараженные участки

не имеют ни одного постоянного участка кода, труднообнаружи- ваемы, основное тело вируса зашифровано

пишутся не в машинных кодах, а на WordBasic , живут в документах Word , переписывают себя в Normal . dot

Основными путями проникновения вирусов в компьютер являются съемные диски (гибкие и лазерные), а также компьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Такое заражение может быть и случайным, например, если дискету не вынули из дисковода А и перезагрузили компьютер, при этом дискета может быть и не системной. Заразить дискету гораздо проще. На нее вирус может попасть, даже если дискету просто вставили в дисковод зараженного компьютера и, например, прочитали ее оглавление.

Как работает вирус.

Рассмотрим схему функционирования очень простого загрузочного вируса, заражающего дискеты.

Что происходит, когда вы включаете компьютер ? Первым делом управление передается программе начальной загрузки, которая хранится в постоянно запоминающем устройстве (ПЗУ) т.е. ПНЗ ПЗУ.

Эта программа тестирует оборудование и при успешном завершении проверок пытается найти дискету в дисководе А :

Всякая дискета размечена на т.н. секторы и дорожки. Секторы объединяются в кластеры, но это для нас несущественно.

Среди секторов есть несколько служебных, используемых операционной системой для собственных нужд (в этих секторах не могут размещаться ваши данные). Среди служебных секторов нас пока интересует один - т.н. сектор начальной загрузки ( boot - sector ) .

В секторе начальной загрузки хранится информация о дискете - количество поверхностей, количество дорожек, количество секторов и пр. Но нас сейчас интересует не эта информация, а небольшая программа начальной загрузки (ПНЗ), которая должна загрузить саму операционную систему и передать ей управление.

Таким образом, нормальная схема начальной загрузки следующая :

ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

Теперь рассмотрим вирус. В загрузочных вирусах выделяют две части - т.н. голову и т.н. хвост . Хвост, вообще говоря, может быть пустым.

Пусть у вас имеются чистая дискета и зараженный компьютер, под которым мы понимаем компьютер с активным резидентным вирусом. Как только этот вирус обнаружит, что в дисководе появилась подходящая жертва - в нашем случае не защищенная от записи и еще не зараженная дискета, он приступает к заражению. Заражая дискету, вирус производит следующие действия :

выделяет некоторую область диска и помечает ее как недоступную операционной системе, это можно сделать по-разному, в простейшем и традиционном случае занятые вирусом секторы помечаются как сбойные ( bad )

копирует в выделенную область диска свой хвост и оригинальный (здоровый) загрузочный сектор

замещает программу начальной загрузки в загрузочном секторе (настоящем) своей головой

организует цепочку передачи управления согласно схеме.

Таким образом, голова вируса теперь первой получает управление, вирус устанавливается в память и передает управление оригинальному загрузочному сектору. В цепочке

ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

появляется новое звено :

ПНЗ (ПЗУ) - ВИРУС - ПНЗ (диск) - СИСТЕМА

Мы рассмотрели схему функционирования простого бутового вируса, живущего в загрузочных секторах дискет. Как правило, вирусы способны заражать не только загрузочные секторы дискет, но и загрузочные секторы винчестеров. При этом в отличие от дискет на винчестере имеются два типа загрузочных секторов, содержащих программы начальной загрузки, которые получают управление. При загрузке компьютера с винчестера первой берет на себя управление программа начальной загрузки в MBR ( Master Boot Record - главная загрузочная запись). Если ваш жесткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочный ( boot ) . Программа начальной загрузки в MBR находит загрузочный раздел винчестера и передает управление на программу начальной загрузки этого раздела. Код последней совпадает с кодом программы начальной загрузки, содержащейся на обычных дискетах, а соответствующие загрузочные секторы отличаются только таблицами параметров. Таким образом, на винчестере имеются два объекта атаки загрузочных вирусов - программа начальной загрузки в MBR и программа начальной загрузки boot -секторе загрузочного диска.

Признаки проявления вируса.

При заражении компьютера вирусом важно его обнаружить. Для этого следует знать об основных признаках проявления вирусов. К ним можно отнести следующие :

прекращение работы или неправильная работа ранее успешно функционировавших программ

медленная работа компьютера

невозможность загрузки операционной системы

исчезновение файлов и каталогов или искажение их содержимого

изменение даты и времени модификации файлов

изменение размеров файлов

неожиданное значительное увеличение количества файлов на диске

существенное уменьшение размера свободной оперативной памяти

подача непредусмотренных звуковых сигналов

частые зависания и сбои в работе компьютера

Следует отметить, что вышеперечисленные явления необязательно вызываются присутствием вируса, а могут быть следствием других причин. Поэтому всегда затруднена правильная диагностика состояния компьютера.

Антивирусные программы.

Для обнаружения, удаления и защиты от компьютерных вирусов разработаны специальные программы, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными. Современные антивирусные программы представляют собой многофункциональные продукты, сочетающие в себе как превентивные, профилактические средства, так и средства лечения вирусов и восстановления данных.

Требования к антивирусным программам.

Количество и разнообразие вирусов велико, и чтобы их быстро и эффективно обнаружить, антивирусная программа должна отвечать некоторым параметрам.

Стабильность и надежность работы . Этот параметр, без сомнения, является определяющим — даже самый лучший антивирус окажется совершенно бесполезным, если он не сможет нормально функционировать на вашем компьютере, если в результате какого-либо сбоя в работе программы процесс проверки компьютера не пройдет до конца. Тогда всегда есть вероятность того, что какие-то зараженные файлы остались незамеченными.

Размеры вирусной базы программы (количество вирусов, которые правильно определяются программой). С учетом постоянного появления новых вирусов база данных должна регулярно обновляться — что толку от программы, не видящей половину новых вирусов и, как следствие, создающей ошибочное ощущение “чистоты” компьютера. Сюда же следует отнести и возможность программы определять разнообразные типы вирусов, и умение работать с файлами различных типов (архивы, документы). Немаловажным также является наличие резидентного монитора, осуществляющего проверку всех новых файлов “на лету” (то есть автоматически, по мере их записи на диск).

Скорость работы программы, наличие дополнительных возможностей типа алгоритмов определения даже неизвестных программе вирусов (эвристическое сканирование). Сюда же следует отнести возможность восстанавливать зараженные файлы, не стирая их с жесткого диска, а только удалив из них вирусы. Немаловажным является также процент ложных срабатываний программы (ошибочное определение вируса в “чистом” файле).

Многоплатформенность (наличие версий программы под различные операционные системы). Конечно, если антивирус используется только дома, на одном компьютере, то этот параметр не имеет большого значения. Но вот антивирус для крупной организации просто обязан поддерживать все распространенные операционные системы. Кроме того, при работе в сети немаловажным является наличие серверных функций, предназначенных для административной работы, а также возможность работы с различными видами серверов.

Характеристика антивирусных программ.

Антивирусные программы делятся на: программы-детекторы, программы-доктора, программы-ревизоры, программы-фильтры, программы-вакцины.

Универсальные детекторы в своей работе используют проверку неизменности файлов путем подсчета и сравнения с эталоном контрольной суммы. Недостаток универсальных детекторов связан с невозможностью определения причин искажения файлов.

Специализированные детекторы выполняют поиск известных вирусов по их сигнатуре (повторяющемуся участку кода). Недостаток таких детекторов состоит в том, что они неспособны обнаруживать все известные вирусы.

Детектор, позволяющий обнаруживать несколько вирусов, называют полидетектором .

Недостатком таких антивирусных про грамм является то, что они могут находить только те вирусы, которые известны разработчикам таких программ .

Программы-доктора (фаги) , не только находят зараженные вирусами файлы, но и "лечат" их, т.е. удаляют из файла тело программы вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к "лечению" файлов. Среди фагов выделяют полифаги , т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов.

Учитывая, что постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление их версий.

Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран видеомонитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры.

Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже отличить изменения версии проверяемой программы от изменений, внесенных вирусом.

Программы-фильтры (сторожа) представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

попытки коррекции файлов с расширениями СОМ и ЕХЕ;

изменение атрибутов файлов;

прямая запись на диск по абсолютному адресу;

запись в загрузочные сектора диска.

загрузка резидентной программы.

Вакцины ( иммунизаторы ) - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.

Существенным недостатком таких программ является их ограниченные возможности по предотвращению заражения от большого числа разнообразных вирусов.

Краткий обзор антивирусных программ.

При выборе антивирусной программы необходимо учитывать не только процент обнаружения вирусов, но и способность обнаруживать новые вирусы, количество вирусов в антивирусной базе, частоту ее обновления, наличие дополнительных функций.

В настоящее время серьезный антивирус должен уметь распознавать не менее 25000 вирусов. Это не значит, что все они находятся "на воле". На самом деле большинство из них или уже прекратили свое существование или находятся в лабораториях и не распространяются. Реально можно встретить 200-300 вирусов, а опасность представляют только несколько десятков из них.

Существует множество антивирусных программ. Рассмотрим наиболее известные из них.

Norton AntiVirus 4.0 и 5.0 (производитель: « Symantec »).

Один из наиболее известных и популярных антивирусов. Процент распознавания вирусов очень высокий (близок к 100%). В программе используется механизм, который позволяет распознавать новые неизвестные вирусы.

В интерфейсе программы Norton Anti V irus имеется функция LiveUpdate, позволяющая щелчком на одной-единственной кнопке обновлять через Web как программу, так и набор сигнатур вирусов. Мастер по борьбе с вирусами выдает подробную информацию об обнаруженном вирусе, а также предоставляет вам возможность выбора: удалять вирус либо в автоматическом режиме, либо более осмотрительно, посредством пошаговой процедуры, которая позволяет увидеть каждое из выполняемых в процессе удаления действий.

Антивирусные базы обновляются очень часто (иногда обновления появляются несколько раз в неделю). Имеется резидентный монитор.

Недостатком данной программы является сложность настройки (хотя базовые настройки изменять, практически не требуется).

Считается одним из самых лучших антивирусов (Евгений Касперский как-то сказал, что это единственный конкурент его AVP). Обнаруживает практически 100% известных и новых вирусов. Большое количество функций, сканер, монитор, эвристика и все что необходимо чтобы успешно противостоять вирусам.

McAfee VirusScan ( производитель : «McAfee Associates»).

Это один из наиболее известных антивирусных пакетов. Очень хорошо удаляет вирусы, но у VirusScan хуже, чем у других пакетов, обстоят дела с обнаружением новых разновидностей файловых вирусов. Он легко и быстро устанавливается с использованием настроек по умолчанию, но его можно настроить и по собственному усмотрению. Вы можете сканировать все файлы или только программные, распространять или не распространять процедуру сканирования на сжатые файлы. Имеет много функций для работы с сетью Интернет.

Dr . Web (производитель: «Диалог Наука»)

Популярный отечественный антивирус. Хорошо распознает вирусы, но в его базе их гораздо меньше чем у других антивирусных программ.

Antiviral Toolkit Pro (производитель: «Лаборатория Касперского»).

Это антивирус признан во всем мире как один из самых надежных. Несмотря на простоту в использовании он обладает всем необходимым арсеналом для борьбы с вирусами. Эвристический механизм, избыточное сканирование, сканирование архивов и упакованных файлов - это далеко не полный перечень его возможностей.

Лаборатория Касперского внимательно следит за появлением новых вирусов и своевременно выпускает обновления антивирусных баз. Имеется резидентный монитор для контроля за исполняемыми файлами.

Защищенность от вирусов зависит и от грамотности пользователя. Применение вкупе всех видов защит позволит достигнуть высокой безопасности компьютера, и соответственно, информации.

Компьютерный вирус — это целенаправленно созданная программа, автоматически приписывающая себя к другим программным продуктам, изменяющая или уничтожающая их. Компьютерные вирусы могут заразить компьютерные программы, привести к потере данных и даже вывести компьютер из строя.

Компьютерные вирусы могут распространяться и проникать в операционную и файловую систему ПК только через внешние магнитные носители (жесткий и гибкий диски, компакт-диски) и через средства межкомпьютерной коммуникации.

Классы вредоносных программ

В зависимости от среды обитания вирусы можно разделить на сетевые, файловые, загрузочные и файлово-загрузочные.

Сетевые вирусы распространяются по различным компьютерным сетям.

Файловые вирусы внедряются главным образом в исполняемые модули, т.е. в файлы, имеющие расширения СОМ и ЕХЕ.

Загрузочные вирусы внедряются в загрузочный сектор диска или сектор, содержащий программу загрузки системного диска.

Файлово - загрузочные вирусы заражают файлы и загрузочные сектора дисков.

По способу заражения вирусы разделяются на резидентные и нерезидентные.

Резидентный вирус при заражении компьютера оставляет в оперативной памяти свою резидентную часть, которая потом перехватывает обращение операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т.д.) и внедряется в них.

Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

По степени воздействия выделяют:

—неопасные вирусы, которые не мешают работе компьютера,
—опасные, которые могут привести к различным нарушениям в работе компьютера,
—очень опасные, воздействие которых может привести к потере программ, уничтожению данных, стиранию информации в системных областях диска.

Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными.

Виды антивирусных программ

2. Программы-доктора или фаги не только находят зараженные вирусами файлы, но и возвращают файлы в исходное состояние. В начале своей работы флаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов.

3. Программы-ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаружение изменения выводится на экран монитора.

4. Программы - вакцины или иммунизаторы — это резидентные программы, предотвращающие заражение файлов.

5. Программы-фильтры или сторожа, представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов:

попытка коррекции файлов с расширениями СОМ и ЕХЕ;
изменение атрибутов файла;
прямая запись на диск по абсолютному адресу;
запись в загрузочные сектора диска;
загрузка резидентной программы.

Существует ряд признаков, свидетельствующих о заражении компьютера:

подача непредусмотренных звуковых сигналов;

неожиданное открытие и закрытие лотка CD-ROM-устройства;

произвольный, без вашего участия, запуск на компьютере каких-либо программ;

Существуют и косвенные признаки заражения вашего компьютера:

частые зависания и сбои в работе компьютера;
медленная работа компьютера при запуске программ;
невозможность загрузки операционной системы;
исчезновение файлов и каталогов или искажение их содержимого;
частое обращение к жесткому диску, когда часто мигает лампочка на системном блоке;
Microsoft Internet Explorer зависает или ведет себя неожиданным образом, например окно программы невозможно закрыть.
вывод на экран предупреждения о попытке какой-либо из программ вашего компьютера выйти в Интернет, хотя вы никак не инициировали такое ее поведение (при наличии установленной на вашем компьютере соответствующей антивирусной программы).

Содержимое разработки

Вирусы и антивирусные программы

Классы вредоносных программ

В зависимости от среды обитания вирусы можно разделить на сетевые , файловые , загрузочные и файлово-загрузочные .

Сетевые вирусы распространяются по различным компьютерным сетям.

Файловые вирусы внедряются главным образом в исполняемые модули, т.е. в файлы, имеющие расширения СОМ и ЕХЕ.

Файлово - загрузочные вирусы заражают файлы и загрузочные сектора дисков.

Классы вредоносных программ

По способу заражения вирусы разделяются на резидентные и нерезидентные .

Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

Классы вредоносных программ

По степени воздействия выделяют:

Виды антивирусных программ

4. Программы - вакцины или иммунизаторы — это резидентные программы, предотвращающие заражение файлов.

Виды антивирусных программ

5. Программы-фильтры или сторожа , представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов:

попытка коррекции файлов с расширениями СОМ и ЕХЕ; изменение атрибутов файла; прямая запись на диск по абсолютному адресу; запись в загрузочные сектора диска; загрузка резидентной программы.
попытка коррекции файлов с расширениями СОМ и ЕХЕ;
изменение атрибутов файла;
прямая запись на диск по абсолютному адресу;
запись в загрузочные сектора диска;
загрузка резидентной программы.

Признаки заражения вирусом

Существует ряд признаков, свидетельствующих о заражении компьютера:

Признаки заражения вирусом

Существуют и косвенные признаки заражения вашего компьютера:

частые зависания и сбои в работе компьютера;
медленная работа компьютера при запуске программ;
невозможность загрузки операционной системы;
исчезновение файлов и каталогов или искажение их содержимого;
частое обращение к жесткому диску, когда часто мигает лампочка на системном блоке;
Microsoft Internet Explorer зависает или ведет себя неожиданным образом, например окно программы невозможно закрыть.

-75%

Компьютерные вирусы. Что это такое и как с этим бороться? На эту тему уже написаны десятки книг и сотни статей, борьбой с компьютерными вирусами профессионально занимаются сотни (или тысячи) специалистов в десятках (а может быть, сотнях) компаний. Казалось бы, тема эта не настолько сложна и актуальна, чтобы быть объектом такого пристального внимания. Однако это не так. Компьютерные вирусы были и остаются одной из наиболее распространенных причин потери информации. Известны случаи, когда вирусы блокировали работу организаций и предприятий. Более того, несколько лет назад был зафиксирован случай, когда компьютерный вирус стал причиной гибели человека - в одном из госпиталей Нидерландов пациент получил летальную дозу морфия по той причине, что компьютер был заражен вирусом и выдавал неверную информацию.

Несмотря на огромные усилия конкурирующих между собой антивирусных фирм, убытки, приносимые компьютерными вирусами, не падают и достигают астрономических величин в сотни миллионов долларов ежегодно. Эти оценки явно занижены, поскольку известно становится лишь о части подобных инцидентов.

При этом следует иметь в виду, что антивирусные программы и «железо» не дают полной гарантии защиты от вирусов. Примерно так же плохо обстоят дела на другой стороне тандема «человек-компьютер». Как пользователи, так и профессионалы-программисты часто не имеют даже навыков «самообороны», а их представления о вирусе порой являются поверхностными. Что же такое компьютерный вирус?

Компьютерные вирусы, их анализ и разработка методов обнаружения и лечения.

Компьютерный вирус – это специально написанная программа, обязательным (необходимым) свойством которого является возможность создавать свои дубликаты (не обязательно совпадающие с оригиналом) и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению.

Классификация компьютерных вирусов

Вирусы можно разделить на классы по следующим основным признакам:

среда обитания;
операционная система (ОС);
особенности алгоритма работы;
деструктивные возможности.

по среде обитания вирусы можно разделить на:

файловые;
загрузочные;
макро;
сетевые.

Файловые вирусы либо различными способами внедряются в выполняемые файлы (наиболее распространенный тип вирусов), либо создают файлы-двойники (компаньон-вирусы), либо используют особенности организации файловой системы (link-вирусы).

Загрузочные вирусы записывают себя либо в загрузочный сектор диска (boot-сектор), либо в сектор, содержащий системный загрузчик винчестера (Master Boot Record), либо меняют указатель на активный boot-сектор.

Макро-вирусы заражают файлы-документы и электронные таблицы нескольких популярных редакторов.

Сетевые вирусы используют для своего распространения протоколы или команды компьютерных сетей и электронной почты.

Существует большое количество сочетаний - например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Такие вирусы, как правило, имеют довольно сложный алгоритм работы, часто применяют оригинальные методы проникновения в систему, используют стелс и полиморфик-технологии. Другой пример такого сочетания - сетевой макро-вирус, который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте.

Заражаемая операционная система (вернее, ОС, объекты которой подвержены заражению) является вторым уровнем деления вирусов на классы. Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких OS - DOS, Windows, Win95/NT, OS/2 и т.д. Макро-вирусы заражают файлы форматов Word, Excel, Office97. Загрузочные вирусы также ориентированы на конкретные форматы расположения системных данных в загрузочных секторах дисков.

Среди особенностей алгоритма работы вирусов выделяются следующие пункты:

резидентность;
использование стелс-алгоритмов;
самошифрование и полиморфичность;
использование нестандартных приемов.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения операционной системы к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения компьютера или перезагрузки операционной системы. Нерезидентные вирусы не заражают память компьютера и сохраняют активность ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.

Резидентными можно считать макро-вирусы, посколько они постоянно присутствуют в памяти компьютера на все время работы зараженного редактора. При этом роль операционной системы берет на себя редактор, а понятие «перезагрузка операционной системы» трактуется как выход из редактора.

В многозадачных операционных системах время «жизни» резидентного DOS-вируса также может быть ограничено моментом закрытия зараженного DOS-окна, а активность загрузочных вирусов в некоторых операционных системах ограничивается моментом инсталляции дисковых драйверов ОС.

Использование стелс - алгоритмов позволяет вирусам полностью или частично скрыть себя в системе. Наиболее распространенным стелс-алгоритмом является перехват запросов ОС на чтение/запись зараженных объектов. Стелс-вирусы при этом либо временно лечат их, либо «подставляют» вместо себя незараженные участки информации. В случае макровирусов наиболее популярный способ — запрет вызовов меню просмотра макросов. Один из первых файловых стелс-вирусов — вирус «Frodo», первый загрузочный стелс-вирус — «Brain».

Самошифрование и полиморфичность используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру детектирования вируса. Полиморфик-вирусы (polymorphic) - это достаточно трудно обнаружимые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

Различные нестандартные приемы часто используются в вирусах для того, чтобы как можно глубже спрятать себя в ядре ОС (как это делает вирус «ЗАРАЗА»), защитить от обнаружения свою резидентную копию (вирусы «ТРУО», «Trout2»)_? затруднить лечение от вируса (например, поместив свою копию в Flash-BIOS) и т.д.

По деструктивным возможностям вирусы можно разделить на:

безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);
неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и пр. эффектами;
опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;
очень опасные, в алгоритм работы которых, заведомо заложены процедуры, которые могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти, и даже, как гласит одна из непроверенных компьютерных легенд, способствовать быстрому износу движущихся частей механизмов - вводить в резонанс и разрушать головки некоторых типов винчестеров.

Но даже если в алгоритме вируса не найдено ветвей, наносящих ущерб системе, этот вирус нельзя с полной уверенностью назвать безвредным, так как проникновение его в компьютер может вызвать непредсказуемые и порой катастрофические последствия. Ведь вирус, как и всякая программа, имеет ошибки, в результате которых могут быть испорчены как файлы, так и сектора дисков (например, вполне безобидный на первый взгляд вирус «DenZuk» довольно корректно работает с 360К дискетами, но может уничтожить информацию на дискетах большего объема). До сих пор попадаются вирусы, определяющие «СОМ или ЕХЕ» не по внутреннему формату файла, а по его расширению. Естественно, что при несовпадении формата и расширения имени файл после заражения оказывается неработоспособным. Возможно также «заклинивание» резидентного вируса и системы при использовании новых версий DOS, при работе в Windows или с другими мощными программными системами. И так далее. Загрузочные вирусы; Макровирусы; Полиморфик-вирусы; Прочие «вредные программы»; Резидентные вирусы; Сетевые вирусы; Стелс-вирусы; Файловые вирусы; IRC-черви.

Методы обнаружения и удаления компьютерных вирусов

При работе с современным персональным компьютером пользователя (а особенно начинающего) может подстерегать множество неприятностей: потеря данных, зависание системы, выход из строя отдельных частей компьютера и другие. Одной из причин этих проблем (наряду с ошибками в программном обеспечении) и неумелыми действиями самого оператора ПЭВМ, могут быть проникшие в систему компьютерные вирусы. Эти программы подобно биологическим вирусам размножаются, записываясь в системные области диска, или, приписываясь к файлам, производят различные нежелательные действия, которые, зачастую, имеют катастрофические последствия. Чтобы не стать жертвой этой напасти, каждому пользователю следует хорошо знать принципы защиты от компьютерных вирусов.

Способы противодействия компьютерным вирусам можно разделить на несколько групп: профилактика вирусного заражения и уменьшение предполагаемого ущерба от такого заражения; методика использования антивирусных программ, в том числе обезвреживание и удаление известного вируса; способы обнаружения и удаления неизвестного вируса.

Анализ алгоритма вируса
Антивирусные программы
Восстановление пораженных объектов
Обнаружение неизвестного вируса
Профилактика заражения компьютера

С давних времён известно, что к любому яду рано или поздно можно найти противоядие. Таким противоядием в компьютерном мире стали программы, называемые антивирусными. Данные программы можно классифицировать по пяти основным группам: фильтры, детекторы, ревизоры, доктора и вакцинагоры.

Антивирусы-фильтры - это резидентные программы, которые оповещают пользователя о всех попытках какой-либо программы записаться на диск, а уж тем более отформатировать его, а также о других подозрительных действиях (например о попытках изменить установки CMOS). При этом выводится запрос о разрешении или запрещении данного действия. Принцип работы этих программ основан на перехвате соответствующих векторов прерываний. К преимуществу программ этого класса по сравнению с программами-детекторами можно отнести универсальность по отношению, как к известным, так и неизвестным вирусам, тогда как детекторы пишутся под конкретные, известные на данный момент программисту виды. Это особенно актуально сейчас, когда появилось множество вирусов-мутантов, не имеющих постоянного кода. Однако, программы-фильтры не могут отслеживать вирусы, обращающиеся непосредственно к BIOS, а также ВООТ-вирусы, активизирующиеся ещё до запуска антивируса, в начальной стадии загрузки DOS, К недостаткам также можно отнести частую выдачу запросов на осуществление какой-либо операции: ответы на вопросы отнимают у пользователя много времени и действуют ему на нервы. При установке некоторых антивирусов-фильтров могут возникать конфликты с другими резидентными программами, использующими те же прерывания, которые просто перестают работать.

К последней группе относятся самые антивирусы - вакцинаторы. Они записывают в вакцинируемую программу признаки конкретного вируса так, что вирус считает ее уже зараженной.

Все эти программы универсальные и перспективные, сочетающие функции антивирусного сканера, резидентного сторожа и доктора.

В качестве перспективного подхода к защите от компьютерных вирусов в последние годы все чаще применяется сочетание программных и аппаратных методов защиты. Среди аппаратных устройств такого плана можно отметить специальные антивирусные платы, которые вставляются в стандартные слоты расширения компьютера.

В наше время уже трудно представить работу любого предприятия без использования компьютеров. С помощью последних мы пытаемся облегчить себе жизнь, но часто ли у нас это получается? Порой общение с "чудом современной техники" превращается в пытку. Хорошо еще, если мы понимаем, что происходит в его электронных "мозгах". Бывает, что мы живем своей жизнью, а он пытается жить своей. С более или менее прилично работавшим до того компьютером начинает происходить нечто настолько странное, что проявление неожиданных "чудачеств" порой озадачивает даже подготовленных пользователей. Конечно, проще обвинить во всем безответную "железяку" или программистов, однако можно попытаться все же разобраться в том, что может происходить с детищем заморской технологии. Отбросив первую причину "чудес", т.е. некорректные действия, перейдем к следующим вариантам:

Неправильно работает "железо";

Неправильно работает какая-либо программа или несколько программ;

Неправильно работает и "железо" и программа.

Почему же может неправильно работать когда-то нормально работавшая программа?

Наиболее часто программы портятся от воздействия компьютерных вирусов, поэтому при первых же признаках "странностей" в поведении компьютера следует прежде всего проверить его программное обеспечение на наличие вируса. Одним из основных методов борьбы с вирусами является, как и в медицине, своевременная профилактика. Лучше не ждать, пока "гром грянет", а продумать и обеспечить комплексную антивирусную защиту.

Немного истории. Первые исследования саморазмножающихся искусственных конструкций проводились в середине прошлого столетия. В работах фон Неймана, Винера и других дано определение и проведен математический анализ конечных автоматов, в том числе и самовоспроизводящихся. Термин "компьютерный вирус" появился позднее - официально считается, что его впервые употребил сотрудник Лехайского университета (США) Ф.Коэн в 1984 г. на 7-й конференции по безопасности информации, проходившей в США. С тех пор прошло немало времени, острота проблемы вирусов нисколько не снизилась, однако строгого определения, что же такое компьютерный вирус, так и не дано, несмотря на то, что попытки дать такое определение предпринимались неоднократно. Приведем определение компьютерного вируса, которым пользуется один из самых известных вирусологов - Евгений Касперский. Компьютерным вирусом называется программа (т.е. некоторая совокупность выполняемого кода), которая может создавать свои копии (не обязательно полностью совпадающие с оригиналом) и внедрять их в файлы, системные области компьютера, вычислительные сети и т.д. При этом копии сохраняют способность дальнейшего распространения.

Еще одно определение: компьютерный вирус - это программа, обладающая способностью самовоспроизведения, распространения, внедрения в другие программы (их "заражения"), а также нарушения нормальной работы программ и техники, выполнения непредсказуемых действий вопреки желанию пользователей компьютеров или авторов обычных программ.

Что же реально может вирус? Бытует заблуждение, что человек якобы может заразиться от техники компьютерными вирусами. Путаница происходит из-за употребления одинаковых названий (вирусы) и сопутствующих терминов к совершенно различным явлениям из мира техники и живой природы. Подчеркнем еще раз - компьютерный вирус - это условное наименование компьютерных программ специфического вида, некоторое подобие свойств которых с биомикоорганизмами и привело к возможности использования сходной терминологии.

Компьютерные вирусы могут "заразить" ("инфицировать") только себе подобных, т.е. программы, частично или полностью вывести из строя компьютеры, перевернуть изображение на мониторе и т.п., но вот перевернуть сам монитор или заразить человека они, естественно, не могут. Поэтому, даже сильно опасаясь компьютерных вирусов, работать на ПК можно, и удобнее все же без марлевой повязки и резиновых перчаток.

К сожалению, действия большинства компьютерных вирусов не ограничивается безобидными шутками или только размножением. Вирусы могут выводить на экран посторонние надписи (не всегда приличные), "осыпать" символы или разрушать изображение на экране, перезагружать компьютер, замедлять его работу, исполнять всевозможные мелодии, без разрешения удалять файлы и каталоги, портить отдельные данные или стирать (уничтожать) всю информацию на жестких и гибких дисках и т.п.

Вирусы можно разделить на классы по следующим признакам:

1. По среде обитания вируса;

2. По способу заражения среды обитания;

3. По деструктивным возможностям;

4. По особенностям алгоритма.

По среде обитания вирусы можно разделить на сетевые, файловые и загрузочные.

Сетевые вирусы распространяются по компьютерной сети, файловые внедряются в выполняемые файлы, загрузочные - в загрузочный сектор диска (Boot - сектор) или в сектор, содержащий системный загрузчик винчестера (Master Boot Record). Существуют сочетания, - например, файлово - загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков.

Способы заражения делятся на резидентный и нерезидентный.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращение операционной системы к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.

По деструктивным возможностям вирусы можно разделить на:

1. Безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);

2. Неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и прочими эффектами;

3. Опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;

4. Очень опасные, которые могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти и т.д.

Надо заметить, что безобидных вирусов не бывает. Даже самые безвредные из них могут содержать некорректности или ошибки и, вмешиваясь в работу операционной системы или других программ, приводить к непредсказуемым последствиям.

По особенностям алгоритма можно выделить следующие группы вирусов:

2. Вирусы - "черви" (worm) - вирусы, которые распространяются в компьютерной сети и, так же как и вирусы "спутники", не изменяют файлы или сектора на дисках. Они проникают в память компьютера из компьютерной сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии;

3. "Паразитические" - все вирусы, которые при распространении своих копий обязательно изменяют содержимое дисковых секторов или файлов;

4. "Студенческие" - крайне примитивные вирусы, часто нерезидентные и содержащие большое число ошибок;

5. "Стелс" - вирусы (вирусы - невидимки, stealth), представляющие собой весьма совершенные программы;

6. Вирусы - призраки - достаточно трудно обнаруживаемые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода.

Кроме обычных вирусных программ встречаются и другие вредоносные программы, к которым относятся так называемые троянские программы, логические бомбы и т.д. Однако четкого разделения между ними не существует, и все они могут комбинацию вариантов взаимодействия - своеобразный вирусный "коктейль".

Троянские программы действуют подобно "троянскому коню" из греческого мифа. Их основное назначение искусно маскируется под личиной какой-либо полезной программы, но стоит заинтересованному пользователю установить и запустить подобную программу на своем компьютере, как она незаметно начинает выполнять свою скрытую (вражью) функцию. После того как "троянец" выполнит свою задачу, программа может самоуничтожиться, тем самым затрудняя обнаружение истинных причин "пожара" на компьютере. Троянские программы часто используются для первоначального распространения вирусов.

Логической бомбой называют программу (или ее отдельные модули), которая при выполнении условий, определенных ее создателем: например, при наступлении обусловленной даты или, скажем, появлении/исчезновении какой-либо записи в базе данных происходит разрушение программ или базы данных.

Известен случай, когда программист, разработавший систему автоматизации бухгалтерского учета, заложил в нее логическую бомбу, и, когда из ведомости на получение зарплаты исчезла его фамилия, специальная программа - бомба уничтожила всю систему.

Некоторые авторы таких программ создали их ради развлечения или из озорства, не задумываясь о возможных последствиях, другие - из интереса попробовать свои силы, стремления самоутвердиться или "насолить" кому-либо, в обиде на "несправедливую" судьбу или просто из-за ненависти ко всему роду человеческому. Встречаются и вирусные графоманы - альтруисты, пишущие из любви к искусству, или, наоборот, профессионалы, работающие только за деньги. Для одних это патологическое хобби, для других - "обычная" работа. За какую работу браться - конечно, личное дело человека, его профессиональной этики. Каждый волен выбирать свой путь: дорогу Добра или Зла.

С психологической точки зрения, авторы компьютерных вирусов - в чем-то ущемленные, ущербные люди, быть может, страдающие от собственной неполноценности (некоторые, наоборот, от излишней полноценности) и не нашедшие своим способностям более достойного применения. Многие из них, создавая и выпуская вирусного джинна, не понимают, что совершают если не преступление, то как минимум хулиганство, преследуемое по закону и уголовно наказуемое в цивилизованных странах. Как говориться, незнание закона не освобождает от ответственности, если же человек идет на это сознательно - он преступник вдвойне.

Если бы создание компьютерной заразы ограничивалось проделками одиночек - любителей, отдельных "скверных парней", то данное направление, вероятно, давно бы уже зачахло. К сожалению, дело значительно сложнее и серьезнее, чем может показаться на первый взгляд.

Сегодня в мире насчитывается не один десяток специальных современных САР ВР (средства автоматизации разработки вирусных программ, так называемых вирусных кейс - технологий).

Кому же и зачем нужен столь мощный арсенал "вооружений"? Не из любви же к "искусству" и не для того, чтобы просто обеспечить работой противоположный лагерь, сражающийся с вирусами. Все зависит от того, в чьих руках оказывается это оружие. Оно может с успехом использоваться в условиях как дикого, так и цивилизованного рынка и соратниками, и конкурентами по бизнесу, и военными, и специальными структурами для сдерживания, низведения или даже "уничтожения" своих партнеров или противников новейшими электронными средствами, частью которых являются вирусные технологии.

К сожалению, вирусы продолжают множиться и развиваться. С каждым новым поколением компьютерные вирусы существенно прогрессируют, делаются совершеннее предыдущих, поэтому бороться с ними становиться все сложнее. Вирусы отличаются большим количеством и разнообразием структур, типов, механизмов действия, характеристик, качеств, вариантов и разновидностей.

Интересно, что своеобразным катализатором появления и реализации новых идей и еще более изощренных вирусов становились научно-фантастические романы, где авторы создавали различные страшные образы вирусоподобных организмов. Так, в 1975 г. Джон Бруннер описал в своем научно-фантастическом романе (ставшем бестселлером) "червей" - программы, которые распространяются по сети, - задолго предвосхитив последующие реальные события. В 1977 г. был опубликован фантастический роман Томаса Рина, в котором действуют жуткие разумные вирусы. В 1984 г. бестселлер В.Гибсона "Neuromancer" примерно на ту же тему дал очередной импульс творческой мысли вирусописцев, став предвестником очередной вирусной эпидемии.

Компьютерная профилактика состоит из небольшого количества правил, соблюдение которых значительно снижает вероятность заражения.

Правило первое. Лучше покупать дистрибутивные копии программного обеспечения у официальных продавцов, чем бесплатно или почти бесплатно копировать их из других источников. Этим значительно снижается вероятность заражения, хотя известны случаи покупки инфицированных дистрибутивных копий.

Как следствие из первого правила вытекает необходимость хранения дистрибутивных копий программного обеспечения (в том числе операционный системы), причем копии желательно хранить на защищенных от записи дискетах.

Правило второе. Периодически сохраняйте файлы, с которыми ведется работа, на внешний носитель. Затраты на копирование файлов, содержащих исходные тексты программ, базы данных, документацию, значительно меньше затрат на восстановление этих файлов при проявлении вирусом агрессивных свойств или при сбое компьютера.

Правило третье. Старайтесь не запускать непроверенные файлы, в том числе полученные из Интернета. Желательно использовать только программы, полученные из надежных источников. Перед запуском новых программ обязательно проверяйте их одним или несколькими антивирусами.

Как следствие из третьего правила вытекает необходимость в ограничении круга лиц, допущенных к работе на конкретном компьютере. Как правило, наиболее часто подвержены заражению "многопользовательские" персональные компьютеры (например, установленные в компьютерных классах институтов).

Правило четвертое. Пользуйтесь утилитами проверки целостности информации. Такие утилиты сохраняют в специальных базах данных информацию о системных областях дисков (или целиком системные области) и информацию о файлах (контрольные суммы, размеры, атрибуты, даты последней модификации файлов и т.д.

Понятно, что самое эффективное средство борьбы с компьютерными вирусами - это вообще не включать компьютер. Однако полностью прекратить общение с компьютерным внешним миром сегодня нереально. Периодически приходиться обновлять программы, данные, "общаться" с другими пользователями компьютеров, получать и передавать документы в электронном виде и пр., поэтому надо быть очень разборчивым в своих компьютерных связях, придерживаться названных правил, и тогда можно сберечь немало нервов, времени и денег.

Читайте также: