Viry
Co je počítačový virus?
Počítačový virus je speciálně napsaný malý program, který se může „přiřadit“ jiným programům a také provádět různé nežádoucí akce v počítači. Program obsahující virus se nazývá „infikovaný“. Když takový program začne fungovat, virus nejprve převezme kontrolu. Virus najde a „napadne“ jiné programy a některé také provede škodlivé akce(například poškozuje soubory nebo alokační tabulku souborů na disku, „ucpává“ RAM atd.). Virus je program, který má schopnost se sám reprodukovat. Tato schopnost je jedinou vlastností vlastní všem typům virů. Virus nemůže existovat v „úplné izolaci“. To znamená, že si dnes nelze představit virus, který by nějak nevyužíval kód jiných programů, informace o struktuře souborů nebo dokonce jen názvy jiných programů. Důvod je zcela jasný: virus musí nějakým způsobem zajistit přenesení kontroly na sebe.
Hlavní typy počítačových virů
Existuje zcela formální systém klasifikace počítačových virů a jejich pojmenování tak, aby se předešlo situaci, kdy stejný virus má nerozpoznatelné různá jména v klasifikaci různých vývojářů antivirového softwaru. Navzdory tomu stále nelze říci, že by došlo k úplnému sjednocení názvů a charakteristik virů. To je do značné míry dáno tím, že v době, kdy byla formulována nějaká „pravidla hry“, již existovaly antivirové nástroje, které fungovaly ve vlastním systému zápisu. Obecné sjednocení by vyžadovalo značné úsilí a úpravu programů a dokumentace. V řadě případů se tak stalo. Budeme vycházet ze skutečnosti, že průměrný uživatel se nemusí ponořit do všech složitostí fungování viru: objekty útoku, způsoby infekce, rysy projevu atd. Je však vhodné vědět, co jsou viry, rozumět obecné schéma jejich práce.
Mezi různými viry lze rozlišit následující hlavní skupiny:
– spouštěcí viry; Toto je název pro viry, které infikují zaváděcí sektory disket a pevných disků;
– souborové viry; v nejjednodušším případě takové viry infikují spustitelné soubory; Pokud je u boot virů vše víceméně jasné, pak jsou souborové viry mnohem méně definovaným pojmem; Stačí například říci, že souborový virus nemusí soubor vůbec modifikovat (satelitní viry a viry rodiny Dir-II);
– viry spouštěcích souborů; Takové viry mají schopnost infikovat jak kód spouštěcího sektoru, tak kód souboru. Takových virů není mnoho, ale jsou mezi nimi extrémně zlé příklady (například slavný virus OneHalf).
Viry zapsané v tzv makrojazyky, jsou formálně založené na souborech, ale neinfikují spustitelné soubory, ale datové soubory, i když jsou navrženy tak, aby mohly být infikovány - to mají na svědomí vydavatelé softwaru. Příkladem mohou být viry napsané ve VisualBasic pro MSOffice. Toto je dnes nejběžnější typ viru. Některé z nich se mohou šířit nezávisle prostřednictvím e-mailu, přičemž databázi adres využívají z aplikace Microsoft Outlook.
Trojské koně jsou speciálně napsané programy, které umožňují získat přístup k jinému počítači nebo potřebné informace. Obvykle se tento typ viru nemůže reprodukovat sám o sobě a vstoupí do počítače pod rouškou jiného programu nebo prostřednictvím e-mailu.
Poškozené a infikované soubory
Počítačový virus se může zkazit, tzn. vhodně změnit jakýkoli soubor na discích dostupných v počítači. Některé typy souborů však mohou být infikovány virem. To znamená, že virus se může do těchto souborů „vložit“, tzn. změnit je tak, aby obsahovaly virus, který za určitých okolností může začít fungovat.
Je třeba poznamenat, že texty programů a dokumentů, databázové informační soubory, tabulky tabulek a další podobné soubory nemohou být infikovány virem, mohou je pouze poškodit.
Následující typy souborů mohou být infikovány virem:
1. Spustitelné soubory, tzn. soubory s příponami .COM a .EXE a také překryvné soubory, které se načítají při spuštění jiných programů. Virus v infikovaných spustitelných souborech začíná pracovat po spuštění programu, ve kterém se nachází. Nejnebezpečnější jsou ty souborové viry, které po svém spuštění zůstávají rezidentní v paměti – mohou infikovat soubory a způsobit škody až do dalšího restartu počítače. A pokud infikují jakýkoli program spuštěný ze souboru AUTOEXEC.BAT nebo CONFIG.SYS, virus začne znovu fungovat po restartu z pevného disku.
2. Zavaděč operačního systému a hlavní spouštěcí záznam pevného disku. Tyto oblasti jsou postiženy boot virem.
Takový virus začíná svou práci, když počítač nabootuje a stane se rezidentním, tzn. je trvale uložen v paměti počítače. Distribučním mechanismem je infekce bootovacích záznamů disket vložených do počítače. Tyto viry se často skládají ze dvou částí, protože spouštěcí záznam a hlavní spouštěcí záznam mají malá velikost a je obtížné do nich umístit celý virový program. Část viru, která se do nich nevejde, se nachází v jiné části disku, například na konci kořenového adresáře disku nebo v clusteru v datové oblasti disku (obvykle např. cluster je prohlášen za vadný, takže při zápisu dat na disk nedojde k přepsání virového programu).
3. Ovladače zařízení, tzn. soubory specifikované v aplikaci Zařízení souboru CONFIG.SYS. Virus v nich obsažený zahájí svou práci pokaždé, když dojde k přístupu k odpovídajícímu zařízení. Viry, které infikují ovladače zařízení, jsou velmi vzácné, protože ovladače jsou zřídka přepsány z jednoho počítače do druhého. Totéž platí pro systémové soubory DOS - jejich infekce je také teoreticky možná, ale pro distribuci je neúčinná.
Každý konkrétní typ viru může zpravidla infikovat pouze jeden nebo dva typy souborů. Nejběžnější viry jsou ty, které infikují spustitelné soubory. Některé viry infikují pouze soubory .COM, některé pouze soubory .EXE a většina infikuje oba. Druhým nejčastějším virem jsou boot viry. Některé viry infikují soubory i spouštěcí oblasti disků. Viry, které infikují ovladače zařízení, jsou extrémně vzácné, obvykle mohou infikovat spustitelné soubory.
Viry, které mění systém souborů
V poslední době se rozšířil nový typ viru – viry, které mění systém souborů na disku. Tyto viry se obvykle nazývají Dir. Takové viry schovají své tělo do některé části disku (obvykle poslední shluk disku) a označí jej v alokační tabulce souborů (FAT) jako konec souboru. U všech souborů .COM a .EXE jsou ukazatele na první část souboru obsažené v odpovídajících prvcích adresáře nahrazeny odkazem na sekci disku obsahující virus a správný zakódovaný ukazatel je skryt v nepoužitá část prvku adresáře. Proto, když je spuštěn jakýkoli program, je virus načten do paměti, poté zůstává rezidentní v paměti, připojuje se k programům DOS ke zpracování souborů na disku a poskytuje správné odkazy pro všechna volání prvků adresáře.
Když je tedy virus spuštěn, systém souborů na disku se jeví jako zcela normální. Letmé prozkoumání infikovaného disku na „čistém“ počítači neodhalí nic zvláštního. Pokud se při pokusu o čtení nebo kopírování programových souborů z infikované diskety nepřečte nebo zkopíruje pouze 512 nebo 1024 bajtů, i když je soubor mnohem delší. A když spustíte jakýkoli spustitelný program z disku infikovaného takovým virem, tento disk jako mávnutím kouzelného proutku začne vypadat, že funguje (nepřekvapivé, protože počítač se poté infikuje).
Při analýze na „čistém“ počítači pomocí programů ChkDsk nebo NDD se souborový systém disku infikovaného virem Dir zdá být zcela poškozen. Program ChkDsk tedy vytváří spoustu zpráv o průsečíkech souborů („...cross linked on cluster...“) a o řetězcích ztracených clusterů („...ztracené clustery nalezené v ... řetězcích“). Tyto chyby byste neměli opravovat pomocí programů ChkDsk nebo NDD - to bude mít za následek beznadějné poškození disku. K opravě disků infikovaných těmito viry byste měli používat pouze speciální antivirové programy (např. nejnovější verze aidtest).
„Neviditelné“ a sebemodifikující viry
Aby se zabránilo odhalení, některé viry používají spíše mazané maskovací techniky. Budeme mluvit o dvou z nich: „neviditelných“ a sebemodifikujících se virech.
"Neviditelné" viry. Mnoho rezidentních virů (souborových i spouštěcích virů) brání své detekci tím, že zachytí volání DOSu (a tím i aplikačních programů) do infikovaných souborů a oblastí disku a zobrazí je v jejich původní (neinfikované) podobě. Tento efekt je samozřejmě pozorován pouze na infikovaném počítači - na „čistém“ počítači lze snadno zjistit změny v souborech a spouštěcích oblastech disku.
Upozorňujeme, že některé antivirové programy dokážou detekovat „neviditelné“ viry i na infikovaném počítači. Program ADinf od Dialog-Nauka to tedy dělá tak, že načte disk bez použití služeb DOSu a program AVSP od Dialog-MGU „vypne“ virus během kontroly (poslední metoda nemusí vždy fungovat).
K boji proti virům využívají některé antivirové programy schopnost „neviditelných“ souborových virů „léčit“ infikované soubory. Čtou (když virus běží) informace z infikovaných souborů a zapisují je na disk do souboru nebo souborů, kde jsou tyto informace uloženy v nezkreslené podobě. Poté, po zavedení z „čisté“ diskety, jsou spustitelné soubory obnoveny do původní podoby.
Samomodifikující viry. Další metodou, kterou viry používají, aby se vyhnuly detekci, je úprava jejich těla. Mnoho virů ukládá většinu svého těla v zakódované podobě, takže k pochopení mechanismu jejich fungování nelze použít disassemblery. Samomodifikační viry tuto techniku využívají a často mění parametry tohoto kódování a navíc mění svoji startovací část, která slouží k dekódování zbývajících příkazů viru. V těle takového viru tedy neexistuje jediný konstantní řetězec bajtů, podle kterého by bylo možné virus identifikovat. To přirozeně ztěžuje detekčním programům takové viry najít.
Detekční programy se však stále naučily zachytit „jednoduché“ samomodifikující se viry. U těchto virů se variace v mechanismu dešifrování zakódované části viru týkají pouze použití určitých počítačových registrů, šifrovacích konstant, přidávání „nepodstatných“ příkazů atd. A detekční programy se přizpůsobily k detekci příkazů v počáteční části viru, a to i přes maskování změn v nich. Ale v Nedávno viry se objevily s extrémně složité mechanismy vlastní modifikace. V nich se startovací část viru generuje automaticky podle velmi složité algoritmy: Každá významná instrukce dešifrovače je přenášena s jednou ze stovek tisíc možných možností, s využitím více než poloviny všech instrukcí Intel-8088. Problém rozpoznání takových virů je poměrně složitý a dosud nenašel zcela spolehlivé řešení. Některé antivirové programy však mají nástroje pro nalezení takových virů a nástroj Dr. Web – také heuristické metody pro detekci „podezřelých“ částí programového kódu, typické pro samomodifikující se viry.
Základní metody ochrany před počítačovými viry
K ochraně před viry můžete použít:
– obecné nástroje ochrany informací, které jsou také užitečné jako pojištění proti fyzickému poškození disků, nefunkčnosti programů nebo chybných akcí uživatele;
preventivní opatření ke snížení pravděpodobnosti nákazy virem;
specializované programy pro antivirovou ochranu.
Obecné nástroje pro zabezpečení informací jsou užitečné nejen pro ochranu před viry. Existují dva hlavní typy těchto fondů:
kopírování informací – vytváření kopií souborů a oblastí systémového disku;
kontrola přístupu zabraňuje neoprávněnému použití informací, zejména ochrana před změnami programů a dat viry, nefunkčními programy a chybnými akcemi uživatelů.
Ačkoli obecné fondy Systémy ochrany informací jsou velmi důležité pro ochranu před viry, ale samy o sobě nestačí. K ochraně před viry je také nutné používat specializované programy. Tyto programy lze rozdělit do několika typů: detektory, lékaři (fágy), auditoři (programy pro sledování změn v souborech a systémových oblastech disků), lékaři-auditoři, filtry (rezidentní programy na ochranu před viry) a vakcíny (imunizátory). Pojďme přinést stručné definice tyto pojmy a poté je podrobně zvážit.
Detekční programy mohou detekovat soubory infikované jedním z několika známých virů.
Lékařské programy neboli fágy „léčí“ infikované programy nebo disky „vykousnutím“ těla viru z infikovaných programů, tzn. obnovení programu do stavu, ve kterém byl před infikací viru.
Auditorské programy si nejprve pamatují informace o stavu programů a systémových oblastech disků a poté jejich stav porovnávají s původním. V případě zjištění jakýchkoliv nesrovnalostí je uživatel upozorněn.
Lékaři-inspektoři jsou kříženci auditorů a lékařů, tzn. programy, které nejen detekují změny v souborech a systémových oblastech disků, ale dokážou je v případě změn také automaticky vrátit do původního stavu.
Filtrační programy jsou umístěny v paměti RAM počítače a zachycují volání operačního systému, které viry používají k reprodukci a poškození, a hlásí je uživateli.
Očkovací programy, neboli imunizátory, upravují programy a disky tak, že to neovlivní činnost programů, ale virus, proti kterému se očkování provádí, považuje tyto programy nebo disky za již infikované. Tyto programy jsou extrémně neúčinné a dále se o nich neuvažuje.
Programy detektorů a lékaři
Ve většině případů můžete najít již vyvinuté detekční programy pro detekci viru, který infikoval váš počítač. Tyto programy kontrolují, zda soubory na uživatelem zadané jednotce obsahují kombinaci bajtů specifických pro daný virus. Když je detekován v libovolném souboru, na obrazovce se zobrazí odpovídající zpráva. Mnoho detektorů má režimy pro léčení nebo zničení infikovaných souborů.
Je třeba zdůraznit, že detekční programy mohou detekovat pouze viry, které jsou mu „známé“. Program Scan od McAfee Associates a D.N. Lozinsky's Aidstest vám umožní detekovat asi 1000 virů, ale celkem je jich více než pět tisíc! Některé detekční programy, například Norton AntiVirus nebo AVSP od Dialog-MGU, mohou být konfigurovány pro nové typy virů, potřebují pouze specifikovat bajtové kombinace, které jsou těmto virům vlastní. Je však nemožné vyvinout program, který by dokázal detekovat jakýkoli dříve neznámý virus.
To, že program není rozpoznán detektory jako infikovaný, tedy neznamená, že je zdravý – může obsahovat nějaký nový virus nebo mírně upravenou verzi starého viru, neznámý detekčním programům.
Auditorské programy
Programy auditu mají dvě fáze práce. Nejprve si zapamatují informace o stavu programů a systémových oblastech disků (zaváděcí sektor a sektor s tabulkou rozdělení pevného disku). Předpokládá se, že v tuto chvíli nejsou programy a systémové oblasti disku infikovány. Poté můžete pomocí programu auditor kdykoli porovnat stav programů a oblastí systémového disku s původním stavem. Jakékoli zjištěné nesrovnalosti jsou hlášeny uživateli.
Mnoho uživatelů zahrnuje příkaz ke spuštění programu auditu do dávkového souboru AUTOEXEC.BAT, takže stav programů a disků je zkontrolován při každém spuštění operačního systému. To vám umožní detekovat infekci počítačovým virem dříve, než měl ještě čas nakazit vás. velká škoda. Kromě toho bude stejný auditní program schopen najít soubory poškozené virem.
Pokaždé, když je požadována nepodezřelá akce, zobrazí se na obrazovce počítače zpráva, která uvádí, jaká akce je požadována a jaký program ji chce provést. Tuto akci můžete buď povolit, nebo zakázat.
Co počítačové viry mohou a nemohou
Z neznalosti mechanismu fungování počítačových virů a také pod vlivem různých fám a nekompetentních publikací v tisku se často vytváří zvláštní komplex strachu z virů, tzv. „virofobie“. Tento komplex má dva projevy.
1. Tendence připisovat jakékoli poškození dat nebo neobvyklý jev v počítači virům. Například u „virofoba“ nelze naformátovat disketu, což není možná závada na disketě nebo mechanice, ale účinek viru. Pokud se na vašem pevném disku objeví špatný blok, pak je samozřejmě na vině virus. Ve skutečnosti neobvyklé jevy na počítači jsou nejčastěji způsobeny chybami uživatele, chybami programu nebo závadami hardwaru.
2. Přehnané představy o schopnostech virů. Někdo si například myslí, že k napadení počítače virem stačí vložit infikovanou disketu do mechaniky. To je také široce věřil, že pro počítače připojené
do sítě, nebo dokonce jen stát ve stejné místnosti, infikování jednoho počítače jistě okamžitě povede k infekci zbytku.
Nejlepším lékem na virovou fobii je znalost toho, jak viry fungují, co mohou a co ne. Viry jsou obyčejné programy a nemohou provádět žádné nadpřirozené akce.
Aby se počítač nakazil virem, musí na něm být alespoň jednou spuštěn program obsahující virus. K počáteční infekci počítače virem tedy může dojít v jednom z následující případy:
– na počítači byl spuštěn infikovaný program typu .COM nebo .EXE nebo infikovaný překryvný programový modul;
– počítač se zavedl z diskety obsahující infikovaný spouštěcí sektor;
v počítači byl nainstalován infikovaný operační systém nebo ovladač infikovaného zařízení;
Z toho vyplývá, že není důvod se obávat napadení počítače virem, pokud:
Do počítače se kopírují texty programů, dokumentů, informačních souborů databází nebo tabulkových procesorů atd. Tyto soubory nejsou programy, a proto nemohou být infikovány virem;
Na neinfikovaném počítači se soubory zkopírují z jedné diskety na druhou. Pokud je počítač „zdravý“, pak ani on sám, ani kopírované diskety nebudou infikovány virem. Jedinou možností přenosu viru v této situaci je zkopírovat infikovaný soubor: v tomto případě bude jeho kopie samozřejmě také „infikována“, ale nebude infikován ani počítač, ani žádné jiné soubory;
Pomocí textových procesorů, tabulkových procesorů, systémů pro správu databází a dalších programů dostupných na pevném disku neinfikovaného počítače jsou zpracovávány informační soubory obsažené na disketách.
Bibliografie
Počítačová věda. Počítačové viry. //Příloha k novinám „První září“, 1997 č. 37
V.E. Figurnov. IBM PC pro uživatele. 1998
Co víme o virech? //Computerra, 1999 č. 12
K přípravě této práce byly použity materiály z lokality
Dříve byl virus škodlivý program schopný reprodukce. Virus se šířil infikováním souborů nebo boot sektorů programů. Viry, které infikovaly boot sektory, se nazývaly boot viry. Do mechaniky jsme vložili disketu - virus ji infikoval. Vložili jsme disketu do jiného počítače a virus ji také infikoval.
Viry, které byly přenášeny prostřednictvím souborů, se nazývaly souborové viry. Infikovány byly zpravidla pouze spustitelné soubory (soubory s příponami *.exe a *.com). O něco později se objevily viry, které infikovaly dokumenty MS Office, ale nazývaly se jinak - makroviry, protože byly napsány v makrojazyku Visual Basic.
Jak se zlepšovaly počítače, zlepšovaly se i viry. Objevilo se obrovské množství typů virů. Je jasné, že taková virová epidemie zrušila celou klasifikaci, která existovala dříve. Dnes existují čtyři typy malwaru (dnes se dokonce snaží vyhýbat termínu „virus“, protože existuje mnoho programů, které nejsou viry jako takové, ale mohou způsobit škody více škody než klasický virus). Budeme o nich mluvit v další části.
Hlavní typy virů
Existují tedy čtyři hlavní typy malwaru:
Klasické počítačové viry;
Trojské koně;
Síťoví červi;
Jiný malware.
Klasické počítačové viry
Dříve byly většinou běžné. Nyní „chytit“ takový virus je jako vidět na silnici auto z 60. let. Je to možné, ale velmi zřídka.
Tato kategorie zahrnuje ve skutečnosti všechny ty viry, které existovaly před deseti až patnácti lety. Jejich hlavním rysem je, že distribuují své kopie mezi prostředky (soubory, spouštěcí sektory) místního počítače za účelem spuštění virového kódu uživatelem (čím více souborů je infikováno, tím větší je pravděpodobnost spuštění kódu) a přenosu do jiných počítačů.
Klasické viry nevyužívají k přenosu svého kódu po síti síťové prostředky, a to ani v případě, že je počítač připojen k internetu. Jiná věc je, pokud uživatel přenese infikovaný soubor sám - pak se může nakazit „klasikou“ přes internet. Pokud se tak stane, pak vězte, že virus vám poslal sám uživatel. A není jasné, zda to bylo úmyslné nebo ne. I když „klasiku“ lze přijímat nejen e-mailem. Soubor infikovaný klasickým virem lze zkopírovat přes síť. Koneckonců, mnoho organizací má svou vlastní lokální síť. Všichni uživatelé sdílejí určité adresáře. Někdo zveřejnil infikovaný program, například hru, a vy jste jej zkopírovali a... Jen samotný virus ví, co bude dál.
Co dělají klasické viry? Záleží na viru samotném. Existují prakticky „neškodné“ viry - pravidelně jednoduše zobrazují zprávu, že počítač je infikován. Takto uspokojují autoři virů své vlastní ego Ano, ješitnost je jedna z nej hrozné hříchy. Chci říct, že tímto způsobem chtějí autoři virů informovat svět o své existenci.
Existují další viry, které v jednom ne zrovna úžasném okamžiku vymažou všechny soubory z pevného disku nebo dokonce smažou celou tabulku oddílů. V tom je malá radost. Proto čím dříve je virus detekován, tím lépe.
Jedna věc je jasná: jakýkoli virus zpomaluje váš počítač. Ke každému infikovanému souboru totiž přidává své kopie. Virusový kód se spustí při spuštění programu a provede své akce – buď zkontroluje datum a rozhodne, zda je čas smazat všechny soubory na pevném disku, nebo jednoduše zobrazí zprávu, že počítač je infikován. V každém případě to „zpomaluje“ počítač a zabírá drahocenný čas procesoru.
trojské koně
Všichni známe legendu o trojském koni. Trojský princ Paris ukradl Spartě řeckou Helenu. Její manžel a jeho bratr shromáždili armádu a odešli do Tróje. Po dlouhém a neúspěšném obléhání postavili Řekové obrovského dřevěného koně, nechali ho u hradeb Tróje a předstírali, že odplují. Na boku koně bylo napsáno, že je to dar od Řeků. Trojané koně vtáhli do města. V noci z něj vystoupili Řekové, kteří se ukrývali uvnitř koně, a otevřeli brány města, kterými vcházeli vojáci, kteří se předem vrátili.
Trojské koně obsahují zákeřný plán. Slibují, že něco udělají užitečné akce, například ke zrychlení internetu (kolik těchto trojských internetových optimalizátorů jsem viděl!) nebo provozu celého počítače, přičemž mezitím jen čekají, až si je uživatel nainstaluje. Poté mohou trojské koně provádět různé akce, které nejsou autorizovány uživatelem. Například poskytnutí přístupu útočníkovi k vašemu počítači, přenos vašich osobních údajů (například hesel) k „tvůrci“, použití zdrojů vašeho počítače pro různé účely (ano, váš počítač lze použít pro distribuovaný útok DOS na jiný počítač nebo hádat hesla).
Obecně jsou trojské koně docela zajímavé z toho pohledu, že využívají jednu z nejúspěšnějších technologií počítačového hackování – sociální inženýrství. Proč studovat zranitelnosti operačních systémů, internetových protokolů a dalších informací nezbytných k hacknutí počítače a instalaci vašeho programu na něj, pokud můžete jednoduše požádat uživatele, aby si program nainstaloval do svého počítače (nebo program zveřejnit na internetu a slíbit, že uživatel „hory zlata“)? Proč hackovat administrátorův počítač, když mu můžete dát pivo - už vám dá všechna potřebná práva. Máte nápad? To je význam programu Trojan.
Síťoví červi
Síťoví červi jsou dnes jedním z nejběžnějších typů virů. Síťoví červi se šíří po síti – lokální nebo globální. Jejich hlavním cílem je proniknout do vzdáleného počítače, spustit kód na vzdáleném počítači a přenést kód ostatním vzdálené počítače.
Síťoví červi mohou k šíření využívat různé služby: e-mail, systémy pro rychlé zasílání zpráv, sítě peer-to-peer (P2P), místní sítě a dokonce i sítě mobilních operátorů (ano, pro mobilní telefony existují viry!).
Pamatuji si, jak jednou kamarád dostal MMS. Když byla otevřena, všechny příkazy nabídky telefonu byly přejmenovány pomocí jasně obscénního jazyka. Když jsem se pokusil smazat MMS, telefon se vypnul. Ten bylo možné odstranit pouze připojením telefonu k počítači. Ale abych vrátil menu do původního stavu, musel jsem telefon přeflashovat (přeinstalovat firmware telefonu).
Většina síťových virů je distribuována ve formě souborů, například jako příloha v e-mailu nebo jednoduše odkaz na infikovaný soubor atd. Pokud obdržíte dopis od neznámé osoby obsahující soubor přílohy, je lepší okamžitě smažte dopis bez otevření přílohy. Pokud dopis přišel od osoby, kterou znáte, před otevřením přílohy jej musíte zkontrolovat pomocí antiviru (Kaspersky Anti-Virus, o kterém bude řeč později, vám umožňuje automaticky kontrolovat všechny přílohy e-mailů a obecně všechny otevřené soubory ). Pokud jste obdrželi odkaz od cizinec, pak je lepší dopis úplně smazat a jednou provždy na tento odkaz zapomenout. Myslíte, že to bude odkaz na exe soubor? Ne, může to být odkaz na běžný html soubor obsahující volání aktivního ovládacího prvku v jeho kódu. A aktivní ovládací prvky se obvykle stáhnou do vašeho počítače za účelem provedení. Tímto způsobem viry pronikají do počítače uživatele. V této kapitole budeme hovořit o tom, jak zůstat v bezpečí online, takže tím teď nebudeme ztrácet čas.
Existují také paketoví červi, kteří se šíří jako síťové pakety. Zde vám pomůže pouze firewall nebo antivirus běžící v monitorovacím režimu.
K pronikání do vzdálených počítačů obvykle používají síťoví červi následující metody: sociální inženýrství (v textu dopisu vám slíbí, že okamžitě otevřete přiložený soubor!), chyby v nastavení sítě nebo „díry“ v operačním systému a aplikacích. S prvním můžete bojovat pouze vy sami; antivirus může blokovat pouze běžící soubor, nebo ještě lépe nespouštět vůbec nic podezřelého. S nesprávné nastavení síť a díry v OS a aplikacích, firewall vám pomůže se s tím vypořádat – o čem to je, si povíme v další kapitole.
Co dělají červi? Záleží na implementaci červa, ale obecně se červi ani nepoužívají k poškození vašich souborů, ale k vyčerpání zdrojů vašeho počítače. Jen si představte, co se stane, když útočník vypustí svého červa do sítě. Bude mít statisícovou armádu infikované uzliny. Jeden příkaz a všechny tyto uzly zaútočí na uzel oběti. Je jasné, že takový útok žádný server neodolá. Toto je příklad útoku distribuovaného selhání (útok DOS).
Jiný malware
Ani si nedokážete představit, kolik různých typů malwaru existuje, které údajně nejsou viry, ale nedělají nic užitečného. Existují programy, které viry skrývají před antivirovým skenováním, jsou prostě programy, které znesnadňují práci s počítačem, dokonce existují „laboratoře“ na tvorbu virů, síťových červů a trojských koní – tzv. návrháři. Pokud si chcete přečíst o všem tom zlu, navštivte webovou stránku http://www.virus–list.com/ru/ – toto je nejúplnější encyklopedie virů a malwaru.
Kde to všechno začalo
Existuje mnoho teorií o původu prvního viru. Jedno je ale jasné: v roce 1961 v laboratoři společnosti Bell Telephone Laboratories Byla vynalezena hra Darwin, ve které několik programů zvaných organismy soutěžilo o počítačové zdroje. Tyto programy nebyly viry v pravém slova smyslu, ale jejich mechanismy byly velmi podobné mechanismům počítačových virů, které se objeví později. Ukázalo se to zajímavě - všechno to začalo hrou.
Je také zajímavé, že termín „počítačový virus“ byl poprvé použit ve sci-fi filmu Westworld k označení programu, který napadl počítačový systém. To bylo v roce 1973. Filmaři nejspíš netušili, že za nějakých 10-15 let se to všechno stane skutečností. Ve skutečnosti se to stalo skutečností ještě dříve, o osm let později. V roce 1981 se objevil virus Elk Cloner pro počítače Apple II, které byly v té době běžnější než IBM PC.
Elk Cloner virus byl zapsán do boot sektorů disket – takto byl přenášen z počítače na počítač. Virus neprováděl žádné destruktivní akce – „převracel“ obraz na obrazovce a zobrazoval různé zprávy. Ale pak se Elk Cloner nenazval virem, i když ve skutečnosti byl.
Poprvé termín "počítačový virus" reálný život, nikoli ve sci-fi filmu, použil Leno Eidelman v roce 1983. V témže roce byl na konferenci o počítačové bezpečnosti předveden program realizovatelný v jiných objektech.
A o tři roky později, v roce 1986, byla pro počítače kompatibilní s IBM zaregistrována celá epidemie viru - byl to virus Brain, infikující boot sektory disket. Je zajímavé, že za pouhých pár měsíců se virus rozšířil téměř po celém světě. A pak neexistoval internet v jeho moderním slova smyslu a virus neinfikoval soubory (koneckonců, soubor lze někomu poslat přes síť), ale boot sektory disket. Nutno říci, že pošta pak fungovala dál nejvyšší úroveň– přenášel infikované diskety do celého světa.
Nejzajímavější je, že virus Brain byl napsán v Pákistánu. 19letý autor virů. Pisatel viru byl nalezen rychle - nechal ve viru textovou zprávu se svým jménem, adresou a dokonce i telefonním číslem. Virus byl napsán kvůli experimentu – neničil informace, ale jednoduše se šířil. Mimochodem, tento virus je zajímavý, protože to byl první stealth virus: pokud se program pokusil přečíst infikovaný boot sektor, virus nahradil neinfikovaný originál, takže bylo obtížné jej odhalit.
V osmdesátých letech bylo virů relativně málo, ale kvůli nedostatku antivirových programů se rozšířily. Objevení se každého viru byla skutečná událost (no, události jsou různé - nikdo neřekl, že to byla příjemná událost). Ale na začátku devadesátých let, s dalším šířením osobních počítačů, přibývalo virů.
Na začátku devadesátých let se objevil speciální generace počítačové viry – polymorfní viry. Prvním polymorfním virem byl Chameleon. Charakteristickým rysem polymorfních virů je, že během procesu reprodukce mění svůj kód - kód těla viru. Tehdejší antivirové programy se ukázaly jako neúčinné – vždyť hledaly vzorky virového kódu, a jelikož se jeho kód měnil s každou kopií, bylo téměř nemožné virus najít.
Samozřejmě, brzy (ve skutečnosti uplynul téměř rok) vývojáři antivirových programů reagovali na výskyt polymorfního viru a vyvinuli algoritmus, který umožnil najít polymorfní viry. Dnes je technika detekce polymorfních virů povinnou funkcí moderního antiviru.
V druhé polovině roku 1990 se objevily dva stealth viry (neviditelné viry) - Whale a Frodo. Oba viry se vyznačovaly velmi složitými mechanismy pro utajování jejich přítomnosti v systému.
Již v roce 1990 byly objeveny první domácí viry. Říkalo se jim Peterburg, Voroněž a LoveChild.
Viry se staly skutečným problémem počítačové bezpečnosti, a tak byl v prosinci 1990 vytvořen Evropský institut pro výzkum počítačových antivirů (EICAR). Nachází se v Hamburku (Německo).
Co se stalo pak? Populace viru rostla a v roce 1991 dosáhla několika stovek. Pokud vezmeme v úvahu každý virus zvlášť, neznamená to, že tato kniha nestačí, ale encyklopedie bude mnohem větší než Velká světská encyklopedie. Je však třeba poznamenat některé zvláště škodlivé viry.
V roce 1994 se objevil virus OneHalf. Pamatuji si, že mi to dokonce infikovalo počítač, jen se to stalo v roce 1997 - na rozdíl od prvních virů tento žil mnohem déle. Myslím, že tento virus stále žije na některých starých počítačích.
Ve stejném roce 1994 se objevil domácí virus ZARAZA (velmi příhodný název). Byl to virus spouštějící soubory, který se vložil do MS-DOSu velmi neobvyklým způsobem.
O rok později byl objeven první makrovirus – ano, ten, který infikuje dokumenty MS Office. Jmenoval se Concept a během měsíce obletěl svět. jak to udělal? Společnost částečně pomohla rozšířit virus. Digital Equipment Corporation (DEC), který na konferenci v Dublinu distribuoval disketu s virem. Tento virus znamenal začátek makrovirů. Zajímavé je, že jen v přírodě existuje více než 100 modifikací tohoto makroviru.
Mimochodem, v říjnu 1996 na webu Microsoft byl zveřejněn dokument aplikace Word obsahující makrovirus (jmenoval se Wazzu)! O něco později stejný virus skončil na CD Microsoft Solution Provider. Je to jakoby Microsoft virus sama šířila.
V roce 1996 se objevil první rezidentní virus (Win95.Punch): zachytil přístup k souborům a infikoval je.
Rok 1998 je známý celosvětovou epidemií viru Win95.CIH: počet infikovaných sítí a jednotlivých počítačů dosáhl tisíců. Epidemie začala na Tchaj-wanu, odtud se virus dostal do Spojených států a poté se rozšířil do celého světa. Zdrojový kód viru byl k dispozici všem a kdokoli jej mohl zkompilovat. To přispělo k dalšímu šíření viru. Zvláštností viru bylo, že v závislosti na aktuálním datu (jelikož virové kódy byly distribuovány otevřeně, datum působení viru záviselo na jeho úpravě) smazal veškeré informace z pevného disku a vymazal Flash BIOS, což v některých případech může vést k výměně základní desky. To byl pravděpodobně první virus, který poškodil nejen data, ale i hardware.
V roce 1998 se objevil virus BackOrifice (Backdoor.BO). Nejedná se o virus v doslovném smyslu slova, ale o zadní vrátka. Tento nástroj otevřel útočníkům „zadní vrátka“ do vašeho systému a umožnil jim jej ovládat. Později se objevilo mnoho podobných programů (včetně NetBus).
V roce 1999 došlo k další epidemii. Tentokrát Počítačový svět Narazil jsem na virus Melissa, který kombinoval schopnosti makroviru a síťového červa. Poté, co virus vstoupil do počítače uživatele, přečetl adresář aplikace Outlook a odeslal jeho kopie předplatitelům. Kopie byly navíc odeslány jménem uživatele, to znamená, že příjemci se domnívali, že to byl uživatel, kdo jim poslal dopis. Virus donutil Microsoft, Intel a další giganti počítačového průmyslu, aby dočasně vypnuli své poštovní servery. Škody způsobené virem dosáhly několika milionů amerických dolarů.
Nestihl to Microsoft v roce 2000 představili svůj nový operační systém - Windows 2000, protože podzemní skupina 29A (jakýsi partyzáni) představila virus Inta, který byl prvním virem, který správně infikoval Windows 2000.
A v roce 2000 se virus LoveLetter zapsal do Guinessovy knihy rekordů. Byl distribuován prostřednictvím e-mailu ve formě skriptu VBS maskovaného jako textový soubor. Po spuštění zničil všechny soubory s určitou příponou a rozeslal své kopie na všechny adresy, které byly zadány v adresáři MS Outlook. Vzhledem k tomu, že kód viru byl dostupný všem, začala celá vlna podobných virů – v tuto chvíli je známo 90 modifikací viru LoveLetter.
Síťoví červi jsou nyní nejoblíbenější. Je pozoruhodné, že viry obecně infikují pouze nejzranitelnější operační systém Windows. Operační systém Linux je méně náchylný k virům, ale i pro něj existují viry. I když jsem neslyšel o jediném nebezpečném linuxovém viru, tím méně o linuxovém viru, který dal vzniknout epidemii. Zajímavé je, že v přírodě existuje pouze 41 virů pro Linux (nepočítaje úpravy, s úpravami je to v současnosti 1105 virů).
Antiviry
Zajímalo by mě, co je důležitější: viry nebo antiviry? Virů je asi víc, ale antivirů je taky hodně. Nejoblíbenější v našich otevřených prostorách jsou Kaspersky Anti-Virus (www. kaspersky.ru), DrWeb (www.dr-web.ru), Norton AntiVirus (www.symantec-antivirus.ru). První dva antiviry byly vyvinuty tuzemskými společnostmi a všechny tři antiviry jsou komerční. Schopnosti všech tří antivirů jsou přibližně stejné: ochrana před klasickými viry, síťovými červy, spywarem, provoz v režimu skeneru (když sami spustíte antivirovou kontrolu) a režim sledování (kdy se automaticky kontrolují všechny otevřené soubory). Vybral jsem si Kaspersky Anti-Virus, o kterém bude řeč v této knize. Můžete použít jakýkoli jiný antivirus.
Pokud potřebujete bezplatný antivirus, můžete zkusit nainstalovat následující antiviry:
Program si můžete stáhnout na adrese:
Po stažení rozbalte a spusťte antivirus (soubor avz.exe). Nejprve je potřeba aktualizovat databáze. Chcete-li to provést, spusťte příkaz Soubor, Aktualizace databáze. Poté klikněte na tlačítko Start pro kontrolu počítače.
Rýže. 9.9. Antivirus Zaitsev
Antivirus může pracovat v režimu monitoru (AVZGuard, Povolit AVZGuard), ale důrazně doporučuji, abyste jako hlavní monitor používali Kaspersky Anti-Virus a nechali Zaitsev Anti-Virus být vaším trumfem v nouzových situacích, kdy Kaspersky Anti-Virus nemůže pomoci. vy. Jen nezapomeňte aktualizovat AVZ alespoň jednou týdně, jinak vám to nebude k ničemu!
Pravidla bezpečnosti na internetu
Jak surfovat na internetu bez viru? Zde jsou základní pravidla:
Při práci na internetu nezapomeňte spustit antivirus v režimu monitoru. Pokud jde o Kaspersky Anti-Virus, po instalaci je přidán do automatického spuštění;
Je vhodné nainstalovat firewall. Co to je, se dozvíte v další kapitole.
Nezapomeňte, že Kaspersky Anti-Virus již obsahuje bránu firewall – Anti-Hacker, která není kompatibilní s jinými bránami firewall;
Nikdy nestahujte (natož neotevírejte) soubory, o jejichž stažení jste nepožádali. Stává se, že pracujete na internetu a pak se z ničeho nic objeví okno pro stažení souboru. Musíte stisknout tlačítko zrušení a rychle zavřete okno prohlížeče;
Chcete-li se zaregistrovat na fórech, chatech, nástěnkách, použijte další e-mailovou adresu, nikoli svou primární. Vždy jej můžete vytvořit na bezplatném poštovním serveru, například Mail.Ru. To ochrání vaši hlavní poštovní schránku před spamem – rozesíláním nevyžádané reklamní pošty;
Neotevírejte dopisy (jak e-maily, tak zprávy ICQ) od cizinci, které obsahují přílohy. Všechny dopisy od přátel by měly být skenovány antivirem. Chcete-li se vyhnout spuštění antivirového programu pokaždé, když obdržíte nový dopis, ujistěte se, že běží v režimu sledování;
Kde je větší šance na infekci vašeho počítače? Obvykle lze virus chytit na porno stránkách, na stránkách s piráty software(krakery, generátory sériová čísla). Takové stránky je lepší nenavštěvovat vůbec.
Počítačové viry a antivirové programy
Typy počítačových virů
K první masové epidemii počítačového viru došlo v roce 1986, kdy virus Brain „infikoval“ diskety pro první sériově vyráběné osobní počítače. V současné době je známo několik desítek tisíc virů, které infikují počítače s různými operačními systémy a šíří se po počítačových sítích.
Povinnou vlastností počítačového viru je schopnost se reprodukovat (samokopírovat) a být vnášen do souborů, boot sektorů disků a dokumentů bez povšimnutí uživatele. Název "virus" ve vztahu k počítačové programy vyšel z biologie právě na základě schopnosti sebereprodukce.
Jakmile je počítač infikován, virus se může aktivovat a donutit počítač provést určité akce. Aktivace viru může být spojena s různými událostmi (příchod určitého data nebo dne v týdnu, spuštění programu, otevření dokumentu atd.).
Počítačové viry jsou programy, které se mohou „množit“ a tajně vkládat své kopie do souborů, zaváděcích sektorů disku a dokumentů. Aktivace počítačového viru může způsobit zničení programů a dat.
Následky virů jsou různé; ve velikosti škodlivé účinky Viry lze rozdělit na:
- zdravotně nezávadné, jejichž dopad je omezen úbytkem volné paměti na disku, grafickými, zvukovými a jinými vnějšími efekty;
- nebezpečné, což může vést k haváriím a zamrzání během provozu počítače;
- velmi nebezpečné, jejichž aktivace může vést ke ztrátě programů a dat (změna nebo smazání souborů a adresářů), zformátování pevného disku a podobně.
Na základě jejich stanoviště lze viry rozdělit na soubor, boot, makroviry A síť.
Souborové viry. Souborové viry různé způsoby jsou vložené do spustitelných souborů (programů) a obvykle se aktivují při jejich spuštění. Po spuštění infikovaného programu se virus nachází v paměti RAM počítače a je aktivní (to znamená, že může infikovat další soubory), dokud se počítač nevypne nebo nerestartuje operační systém.
Souborové viry však nemohou infikovat datové soubory (například soubory obsahující obrázky nebo zvuk).
Preventivní ochrana před souborovými viry spočívá v tom, že se nedoporučuje spouštět soubory přijaté z pochybného zdroje a dříve nezkontrolované antivirovými programy.
Spouštěcí viry. Boot viry se samy zapisují do boot sektoru disku. Při načítání operačního systému z infikovaného disku se do paměti RAM počítače zanesou viry. V budoucnu se boot virus chová stejně jako souborový virus, to znamená, že může infikovat soubory, když k nim počítač přistupuje.
Preventivní ochrana proti takovým virům spočívá v nenačítání operačního systému z disket a nastavení BIOSu počítače tak, aby chránil boot sektor před změnami.
Makroviry. Makroviry infikují soubory Word dokumenty a excelové tabulky. Makroviry jsou vlastně makropříkazy (makra), které jsou vložené do dokumentu.
Jakmile je infikovaný dokument načten do aplikace, makroviry jsou neustále přítomny v paměti počítače a mohou infikovat další dokumenty. Hrozba infekce končí až po zavření aplikace.
Preventivní ochrana proti makrovirům spočívá v zabránění spuštění viru. Když otevřete dokument ve Wordu a Excelu, budete upozorněni na přítomnost maker ( potenciální viry) a navrhuje se zakázat jejich stahování. Volba blokování načítání maker spolehlivě ochrání váš počítač před infekcí makroviry, ale také zakáže užitečná makra obsažená v dokumentu.
Síťové viry. Podle počítačová síť Jakékoli běžné viry se mohou šířit a infikovat počítače. To se může stát například při příjmu infikovaných souborů z archivačních serverů. Existují však také specifické síťové viry, které k šíření využívají e-mail a World Wide Web.
Internetoví červi(červ) jsou viry, které se šíří v počítačové síti v souborech připojených k e-mailovým zprávám. K automatické aktivaci červa a infekci počítače může dojít při pouhém prohlížení zprávy. Nebezpečí takových virů spočívá v tom, že se v určité dny aktivují a zničí soubory na discích infikovaného počítače.
Internetoví červi jsou navíc často trojské koně, fungující jako „trojský kůň“ vestavěný do operačního systému. Takové viry „ukradnou“ přístupové ID a heslo uživatele k internetu a přenesou je na konkrétní e-mailovou adresu. Díky tomu útočníci získávají přístup k internetu za peníze nic netušících uživatelů.
Lavinová řetězová reakce šíření viru je založena na tom, že po infikování počítače se virus začne rozesílat na všechny adresy E-mailem, které jsou dostupné v adresáři uživatele. K infekci může navíc dojít i přes lokální síť, protože červ prohledá všechny lokální disky a síťové disky s přístupovými právy a zkopíruje je tam pod náhodným jménem.
Preventivní ochrana proti internetovým červům spočívá v neotevírání souborů připojených k e-mailovým zprávám přijatým z pochybných zdrojů.
Zvláštním typem virů jsou aktivní prvky (programy) napsané v JavaScriptu nebo VBScriptu, které mohou provádět destruktivní akce, tedy viry ( skriptové viry). Takové programy jsou přenášeny prostřednictvím Celosvětová Síť v procesu načítání webových stránek z internetových serverů do prohlížeče místního počítače.
Preventivní ochrana proti skriptovým virům spočívá v zabránění prohlížeči přijímat aktivní prvky na místním počítači.
Otázky ke zvážení
1. Jaké jsou důsledky infekce počítačovými viry?
2. Jaké typy počítačových virů existují, jak se od sebe liší a jaká by měla být prevence infekce?
3. Proč se i čistá zformátovaná disketa může stát zdrojem virové infekce?
Počítačový virus je programový kód vložený do jiného programu nebo dokumentu nebo do určitých oblastí paměťového média a určený k provádění neoprávněných akcí na hostitelském počítači.
Hlavní typy počítačových virů jsou:
Souborové viry;
Boot viry;
Kombinované viry;
Softwarové viry;
makroviry;
Trojské koně;
Polymorfní viry;
Stealth - viry.
Souborové viry
Souborové viry infikují spustitelné soubory. Když je spuštěn infikovaný spustitelný soubor, virus získá kontrolu, provede některé akce a předá kontrolu „hostiteli“. Virus hledá nový objekt, který by mohl infikovat – soubor vhodného typu, který ještě nebyl infikován. Infikováním souboru se virus vloží do svého kódu, aby získal kontrolu nad spuštěním souboru. Když virus infikuje spustitelný soubor, vždy změní svůj kód, takže lze infekci spustitelného souboru vysledovat. Informace o souborech jsou uloženy v adresářích. Každá položka adresáře obsahuje název souboru, datum a čas vytvoření, další informace, číslo prvního clusteru souboru a tzv rezervní bajty. Ty jsou ponechány „v záloze“ a samotný operační systém je nepoužívá.
Při spouštění spustitelných souborů systém čte první shluk souboru z položky adresáře a tak dále. všechny ostatní shluky.
Že. Při spuštění jakéhokoli souboru převezme kontrolu virus (OS jej spustí sám), nainstaluje jej rezidentně do paměti a předá řízení volanému souboru.
Softwarové viry
Softwarové viry- Jedná se o bloky programového kódu účelově vložené do jiných aplikačních programů. Když spustíte program, který přenáší virus, spustí se v něm implantovaný kód viru. Činnost tohoto kódu způsobuje uživateli skryté změny v souborovém systému pevných disků a/nebo v obsahu jiných programů. Například virový kód se může reprodukovat v těle jiných programů - tento proces se nazývá replikace. Po určité době, po vytvoření dostatečného počtu kopií, může softwarový virus přistoupit k destruktivním akcím - narušení činnosti programů a operačního systému, smazání informací uložených na pevném disku. Tento proces se nazývá virový útok. Nejničivější viry mohou iniciovat formátování pevných disků. Vzhledem k tomu, že formátování disku je poměrně zdlouhavý proces, který by neměl zůstat bez povšimnutí uživatele, jsou softwarové viry v mnoha případech omezeny na zničení dat pouze v systémových sektorech pevného disku, což je ekvivalentní ztrátě tabulek struktury souborů. V tomto případě zůstanou data na pevném disku nedotčena, ale nelze je použít bez použití speciálních nástrojů, protože není známo, které sektory disku patří ke kterým souborům. Teoreticky je v tomto případě možné data obnovit, ale pracnost této práce je extrémně vysoká.
Předpokládá se, že žádný virus nemůže poškodit počítačový hardware. Jsou však chvíle, kdy jsou hardware a software natolik propojeny, že poškození softwaru musí být vyřešeno výměnou hardwaru. Například většina moderních základních desek ukládá základní vstupní/výstupní systém (BIOS) do přepisovatelné paměti pouze pro čtení (nazývané flash paměť). Schopnost přepisovat informace v čipu paměti flash využívají některé softwarové viry ke zničení dat systému BIOS. V tomto případě je pro obnovení funkčnosti počítače nutné buď vyměnit čip ukládající BIOS, nebo jej přeprogramovat na speciálních zařízeních tzv. programátory.
Softwarové viry pronikají do počítače, když spouštíte neověřené programy přijaté na externím médiu (disketa, CD atd.) nebo přijaté z internetu, i Zvláštní pozornost je třeba věnovat slovům při spouštění. Pokud jsou infikované soubory jednoduše zkopírovány, počítač se nemůže infikovat. V tomto ohledu musí veškerá data získaná z internetu projít povinnými bezpečnostními kontrolami, a pokud jsou nevyžádaná data přijata z neznámého zdroje, měla by být bez zkoumání zničena. Obvyklý příjem distribuce "trojských" programů - příloha e-mailu s "doporučením" extrahovat a spustit údajně užitečný program.
