Вирусы
Что такое компьютерный вирус?
Компьютерный вирус – это специально написанная небольшая по размерам программа, которая может “приписывать” себя к другим программам, а также выполнять различные нежелательные действия на компьютере. Программа, внутри которой находится вирус, называется “зараженной”. Когда такая программа начинает работу, то сначала управление получает вирус. Вирус находит и “заражает” другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения файлов на диске, “засоряет” оперативную память и т. д.). Вирус – это программа, обладающая способностью к самовоспроизведению. Такая способность является единственным свойством, присущим всем типам вирусов. Вирус не может существовать в “полной изоляции”. Это означает, что сегодня нельзя представить себе вирус, который бы так или иначе не использовал код других программ, информацию о файловой структуре или даже просто имена других программ. Причина этого довольно понятна: вирус должен каким-нибудь способом обеспечить передачу себе управления.
Основные типы компьютерных вирусов
Существует совершенно формальная система, позволяющая классифицировать компьютерные вирусы и называть их таким образом, чтобы избежать ситуации, когда один и тот же вирус имеет неузнаваемо разные имена в классификации разных разработчиков антивирусных программ. Несмотря на это, всё ещё нельзя сказать о полной унификации имён и характеристик вирусов. В значительной степени это определяется тем, что к моменту, когда были сформулированы некоторые “правила игры”, уже существовали антивирусные средства, работающие в собственной системе обозначений. Всеобщая унификация потребовала бы приложить значительные усилия и модифицировать программы и документацию. В ряде случаев это было сделано. Мы станем исходить из того, что обычному пользователю нет необходимости вникать во все тонкости функционирования вируса: объекты атаки, способы заражения, особенности проявления и пр. Но желательно знать, какими бывают вирусы, понимать общую схему их работы.
Среди всего разнообразия вирусов можно выделить следующие основные группы:
– загрузочные вирусы; так называют вирусы, заражающие загрузочные секторы дискет и винчестеров;
– файловые вирусы; в простейшем случае такие вирусы заражают исполняемые файлы; если с загрузочными вирусами всё более или менее ясно, то файловые вирусы – это гораздо менее определённое понятие; достаточно, к примеру, сказать, что файловый вирус может вообще не модифицировать файл (вирусы-спутники и вирусы семейства Dir-II);
– загрузочно-файловые вирусы; такие вирусы обладают способностью заражать как код загрузочных секторов, так и код файлов. Таких вирусов не очень много, но среди них встречаются чрезвычайно злобные экземпляры (например, известный вирус OneHalf).
Вирусы, написанные на т.н. макроязыках, формально являются файловыми, но заражают не исполняемые файлы, а файлы данных, правда, устроенные так, что их можно заражать, – это уже на совести издателей программного обеспечения. Примером могут служить вирусы написанные на VisualBasic для MSОffice. На сегодняшний день это самый распространенный тип вирусов. Некоторые из них могут самостоятельно распространятся по электронной почте, беря базу адресов из MicrosoftOutlook.
Троянские кони, специально написанные программы, которые позволяют получить доступ к другому компьютеру или нужную информацию. Обычно этот тип вирусов не может самостоятельно размножаться и попадает на компьютер под видом другой программы или по электронной почте.
Испорченные и зараженные файлы
Компьютерный вирус может испортить, т.е. изменить надлежащим образом, любой файл на имеющихся на компьютере дисках. Но некоторые виды файлов вирус может заразить. Это означает, что вирус может “внедриться” в эти файлы, т.е. изменить их так, что они будут содержать вирус, который при некоторых обстоятельствах может начать свою работу.
Следует заметить, что тексты программ и документов, информационные файлы баз данных, таблицы табличных процессоров и другие аналогичные файлы не могут быть заражены вирусом, он может их только испортить.
Вирусом могут быть заражены следующие виды файлов:
1. Исполнимые файлы, т.е. файлы с расширениями имени.COM и.EXE, а также оверлейные файлы, загружаемые при выполнении других программ. Вирус в зараженных исполнимых файлах начинает свою работу при запуске той программы, в которой он находится. Наиболее опасны те файловые вирусы, которые после своего запуска остаются в памяти резидентно – они могут заражать файлы и вредить до следующей перезагрузки компьютера. А если они заразят любую программу, запускаемую из файла AUTOEXEC.BAT или CONFIG.SYS, то и при перезагрузке с жесткого диска вирус снова начнёт свою работу.
2. Загрузчик операционной системы и главная загрузочная запись жесткого диска. Эти области поражают загрузочный вирус.
Такой вирус начинает свою работу при начальной загрузке компьютера и становится резидентным, т.е. постоянно находится в памяти компьютера. Механизм распространения – заражение загрузочных записей вставляемых в компьютер дискет. Часто такие вирусы состоят из двух частей, поскольку загрузочная запись и главная загрузочная запись имеют небольшой размер ив них трудно разместить целиком всю программу вируса. Часть вируса, не помещающаяся в них, располагается в другом участке диска, например в конце корневого каталога диска или в кластере в области данных диска (обычно такой кластер объявляется дефектным, чтобы программа вируса не была затёрта при записи данных на диск).
3. Драйверы устройств, т.е. файлы, указываемые в приложении Device файла CONFIG.SYS. Вирус, находящийся в них, начинает свою работу при каждом обращении к соответствующему устройству. Вирусы заражающие драйверы устройств, очень мало распространены, поскольку драйверы редко переписывают с одного компьютера на другой. То же относится и к системным файлам DOS – их заражение также теоретически возможно, но для распространения малоэффективно.
Как правило, каждая конкретная разновидность вируса может заражать только один или два типа файлов. Чаще всего встречаются вирусы, заражающие исполнимые файлы. Некоторые вирусы заражают только.COM-файлы, некоторые – только.EXE-файлы, а большинство – и те и другие. На втором месте по распространенности загрузочные вирусы. Некоторые вирусы заражают и файлы, и загрузочные области дисков. Вирусы, заражающие драйверы устройств, встречаются крайне редко, обычно такие вирусы умеют заражать и исполнимые файлы.
Вирусы, меняющие файловую систему
В последнее время получили распространение вирусы нового типа – вирусы, меняющие файловую систему на диске. Эти вирусы обычно называются Dir. Такие вирусы прячут своё тело в некоторый участок диска (обычно – в последний кластер диска) и помечают его в таблице размещения файлов (FAT) как конец файла. Для всех.COM- и.EXE-файлов содержащиеся в соответствующих элементах каталога указатели на первый участок файла заменяются ссылкой на участок диска, содержащий вирус, а правильный указатель в закодированном виде прячется в неиспользуемой части элемента каталога. Поэтому при запуске любой программы в память загружается вирус, после чего он остаётся в памяти резидентно, подключается к программам DOS для обработки файлов на диске и при всех обращениях к элементам каталога выдаёт правильные ссылки.
Таким образом, при работающем вирусе файловая система на диске кажется совершенно нормальной. При поверхностной просмотре зараженного диска на “чистом” компьютере ничего странного не наблюдается. Разве лишь при попытке прочесть или скопировать с зараженной дискеты программные файлы в них будут прочтены или скопированы только 512 или 1024 байта, даже если файл гораздо длиннее. А при запуске любой исполнимой программы с зараженного таким вирусом диска этот диск, как по волшебству, начинает казаться исправным (неудивительно, ведь компьютер при этом становится зараженным).
При анализе на “чистом” компьютере с помощью программ ChkDsk или NDD файловая система зараженного Dir-вирусом диска кажется совершенно испорченной. Так, программа ChkDsk выдаёт кучу сообщений о пересечениях файлов (“…cross linked on cluster...”) и о цепочках потерянных кластеров (“… lost clusters found in … chains”). Не следует исправлять эти ошибки программами ChkDsk или NDD – при этом диск окажется безнадёжно испорченным. Для исправления зараженных этими вирусами дисков надо использовать только специальные антивирусные программы (например, последние версии Aidstest).
“Невидимые” и самомодифицирующиеся вирусы
Чтобы предотвратить своё обнаружение, некоторые вирусы применяют довольно хитрые приёмы маскировки. Речь пойдёт о двух из них: “невидимых” и самомодифицирующихся вирусах.
“Невидимые” вирусы. Многие резидентные вирусы (и файловые, и загрузочные) предотвращают своё обнаружение тем, что перехватывают обращения DOS (и тем самым прикладных программ) к зараженным файлам и областям диска и выдают их в исходном (незараженном) виде. Разумеется этот эффект наблюдается только на зараженном компьютере – на “чистом” компьютере изменения в файлах и загрузочных областях диска можно легко обнаружить.
Заметим, некоторые антивирусные программы могут обнаруживать “невидимые” вирусы даже на зараженном компьютере. Так, программа ADinf фирмы “Диалог-Наука” для этого выполняет чтение диска, не пользуясь услугами DOS, а программа AVSP фирмы “Диалог-МГУ” – “отключает” на время проверки вирус (последний метод работает не всегда).
Некоторые антивирусные программы используют для борьбы с вирусами свойство “невидимых” файловых вирусов “вылечивать” зараженные файлы. Они считывают (при работающем вирусе) информацию из зараженных файлов и записывают их на диск в файл или файлы, где эта информация хранится в неискаженном виде. Затем, уже после загрузки с “чистой” дискеты, исполнимые файлы восстанавливаются в исходном виде.
Самомодифицирующиеся вирусы. Другой способ, применяемый вирусами для того, чтобы укрыться от обнаружения, – модификация своего тела. Многие вирусы хранят большую часть своего тела в закодированном виде, чтобы с помощью дизассемблеров нельзя было разобраться в механизме их работы. Самомодифицирующиеся вирусы используют этот приём и часто меняют параметры этой кодировки, а кроме того, изменяют и свою стартовую часть, которая служит для раскодировки остальных команд вируса. Таким образом, в теле подобного вируса не имеется ни одной постоянной цепочки байтов, по которой можно было бы идентифицировать вирус. Это, естественно, затрудняет нахождение таких вирусов программами-детекторами.
Однако программы-детекторы всё же научились ловить “простые” самомодифицирующиеся вирусы. В этих вирусах вариации механизма расшифровки закодированной части вируса касаются только использования тех или иных регистров компьютера, констант шифрования, добавления “незначащих” команд и т.д. И программы-детекторы приспособились обнаруживать команды в стартовой части вируса, несмотря на маскирующие изменения в них. Но в последнее время появились вирусы с чрезвычайно сложными механизмами самомодификации. В них стартовая часть вируса генерируется автоматически по весьма сложным алгоритмам: каждая значащая инструкция расшифровщика передаётся одним из сотен тысяч возможных вариантов, при этом используется более половины всех команд Intel-8088. Проблема распознавания таких вирусов довольно сложна, и полностью надёжного решения пока не получила. Впрочем, в некоторых антивирусных программах имеются средства для нахождения подобных вирусов, а в программе Dr. Web – также и эвристические методы обнаружения “подозрительных” участков программного кода, типичные для самомодифицирующихся вирусов.
Основные методы защиты от компьютерных вирусов
Для защиты от вирусов можно использовать:
– общие средства защиты информации, которые полезны также и как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователей;
профилактические меры, позволяющие уменьшить вероятность заражения вирусом;
специализированные программы для защиты от вирусов.
Общие средства защиты информации полезны не только для защиты от вируса. Имеются две основные разновидности этих средств:
копирование информации – создание копий файлов и системных областей дисков;
разграничение доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.
Несмотря на то, что общие средства защиты информации очень важны для защиты от вирусов, всё же их одних недостаточно. Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно разделить на несколько видов: детекторы, доктора (фаги), ревизоры (программы контроля изменений в файлах и системных областях дисков), доктора-ревизоры, фильтры (резидентные программы для защиты от вирусов) и вакцины (иммунизаторы). Приведём краткие определения этих понятий, а затем рассмотрим их подробно.
Программы-детекторы позволяют обнаружить файлы, зараженные одним из нескольких известных вирусов.
Программы-доктора, или фаги, “лечат” зараженные программы или диски, “выкусывая” из зараженных программ тело вируса, т.е. восстанавливая программу в том состоянии, в котором она находилась до заражения вирусом.
Программы-ревизоры сначала запоминают сведения о состоянии программ и системных областей дисков, а затем сравнивают их состояние с исходным. При выявлении несоответствий об этом сообщается пользователю.
Доктора-ревизоры – это гибриды ревизоров и докторов, т.е. программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние.
Программы-фильтры располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователю.
Программы-вакцины, или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны и далее не рассматриваются.
Программы-детекторы и доктора
В большинстве случаев для обнаружения вируса, заразившего Ваш компьютер, можно найти уже разработанные программы-детекторы. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При её обнаружении в каком-либо файле на экран выводится соответствущее сообщение. Многие детекторы имеют режимы лечения или уничтожения зараженных файлов.
Следует подчеркнуть, что программы-детекторы могут обнаруживать только те вирусы, которые ей “известны”. Программа Scan фирмы McAfee Associates и Aidstest Д.Н.Лозинского позволяют обнаруживать около 1000 вирусов, но всего их более пяти тысяч! Некоторые программы-детекторы, например Norton AntiVirus или AVSP фирмы “Диалог-МГУ”, могут настраиваться на новые типы вирусов, им необходимо указать лишь комбинации байтов, присущие этим вирусам. Тем не менее невозможно разработать такую программу, которая могла бы обнаруживать любой заранее неизвестный вирус.
Таким образом, из того, что программа не опознаётся детекторами как зараженная, не следует, что она здорова – в ней могут сидеть какой-нибудь новый вирус или слегка модифицированная версия старого вируса, неизвестные программам-детекторам.
Программы-ревизоры
Программы-ревизоры имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей дисков (загрузочного сектора и сектора с таблицей разбиения жесткого диска). Предполагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и системных областей дисков с исходным. О выявленных несоответствиях сообщается пользователю.
Многие пользователи включают команду запуска программы- ревизора в командный файл AUTOEXEC.BAT, чтобы проверка состояния программ и дисков проходила при каждой загрузке операционной системы. Это позволяет обнаружить заражение компьютерным вирусом, когда он ещё не успел нанести большого вреда. Более того, та же программа-ревизор сможет найти повреждённые вирусом файлы.
При каждом запросе не “подозрительное” действие на экран компьютера выводится сообщение о том, какое действие затребовано и какая программа желает его выполнить. Можно либо разрешить выполнение этого действия, либо запретить его.
Что могут и чего не могут компьютерные вирусы
Из-за незнания механизма работы компьютерных вирусов, а также под влиянием различных слухов и некомпетентных публикаций в печати часто создаётся своеобразный комплекс боязни вирусов, т.н. “вирусофобия”. Этот комплекс имеет два проявления.
1. Склонность приписывать любое повреждение данных или необычное явление на компьютере действию вирусов. Например, не форматируется дискета, это для “вирусофоба” не возможный дефект дискеты или дисковода, а действие вируса. Если на жёстком диске появляется сбойный блок, то в этом тоже, разумеется, виноват вирус. На самом же деле необычные явления на компьютере чаще вызваны ошибками пользователя, программ или дефектами оборудования.
2. Преувеличенные представления о возможностях вирусов. Некоторые думают, например, что достаточно вставить в дисковод зараженную дискету, чтобы компьютер заразился вирусом. Распространено также мнение, что для компьютеров, объединённых
в сеть, или даже просто стоящих в одной комнате, заражение одного компьютера обязательно тут же приведёт к заражению остальных.
Лучшим лекарством от вирусофобии является знание того, как работают вирусы, что они могут и чего не могут. Вирусы являются обычными программами и не могут совершать никаких сверхъестественных действий.
Для того чтобы компьютер заразился вирусом, необходимо, чтобы на нём хотя бы один раз была выполнена программа, содержащая вирус. Поэтому первичное заражение компьютера вирусом может произойти в одном из следующих случаев:
– на компьютере была выполнена зараженная программа типа.COM или.EXE или зараженный модуль оверлейной программы;
– компьютер загружался с дискеты, содержащей зараженный загрузочный сектор;
на компьютере была установлена зараженная операционная система или зараженный драйвер устройства;
Отсюда следует, что нет никаких оснований бояться заражения компьютера вирусом, если:
на компьютер переписываются тексты программ, документов, информационные файлы баз данных или табличных процессоров и т.д. Эти файлы не являются программами, а поэтому они не могут быть заражены вирусом;
на незараженном компьютере производится копирование файлов с одной дискеты на другую. Если компьютер “здоров”, то ни он сам, ни копируемые дискеты не будут заражены вирусом. Единственный вариант передачи вируса в этой ситуации – это копирование зараженного файла: при этом его копия, разумеется, тоже будет “заражена”, но ни компьютер, ни какие-то другие файлы заражены не будут;
с помощью имеющихся на жестком диске незараженного компьютера текстовых процессоров, табличных процессоров, систем управления базами данных и других программ обрабатываются информационные файлы, содержащиеся на дискетах.
Список литературы
Информатика. Компьютерные вирусы. //Приложение к газете “Первое сентября”, 1997 г. № 37
В.Э.Фигурнов. IBM PC для пользователя. 1998 г.
Что мы знаем о вирусах. //Компьютерра,1999 г. №12
Для подготовки данной работы были использованы материалы с сайта
Раньше вирусом называлась вредоносная программа, способная к размножению. Размножение вируса осуществлялось путем инфицирования файлов или загрузочных секторов программ. Вирусы, которые инфицировали загрузочные секторы, назывались загрузочными. Вставили дискетку в дисковод – вирус ее заразил. Вставили дискетку в другой компьютер, вирус заразил и его.
Вирусы, которые передавались через файлы, назывались файловыми. Как правило, инфицированию подвергались только исполнимые файлы (файлы с расширением *.exe и *.com). Чуть позже появились вирусы, которые инфицировали документы MS Office, но их назвали иначе – макровирусами, поскольку они были написаны на макроязыке Visual Basic.
С совершенствованием компьютеров совершенствовались и вирусы. Появилось огромное число типов вирусов. Понятно, что такая вирусная эпидемия свела на нет всю классификацию, которая была раньше. Сегодня выделяют четыре вида вредоносных программ (сейчас даже стараются избегать термина «вирус», поскольку есть много программ, которые не являются вирусами как таковыми, но могут причинить куда больший вред, чем классический вирус). О них мы поговорим в следующем разделе.
Основные типы вирусов
Итак, существует четыре основных типа вредоносных программ:
Классические компьютерные вирусы;
Троянские программы;
Сетевые черви;
Прочие вредоносные программы.
Классические компьютерные вирусы
Были в основном распространены раньше. Сейчас «подхватить» такой вирус – это все равно что увидеть автомобиль 60-х годов на дороге. Можно, но очень редко.
К данной категории относятся, фактически, все те вирусы, которые были лет десять – пятнадцать назад. Основная их особенность – они распространяют свои копии по ресурсам (файлам, загрузочным секторам) локального компьютера с целью запуска кода вируса пользователем (чем больше файлов заражено, тем больше вероятность запуска кода) и передачи на другие компьютеры.
Классические вирусы не используют сетевые средства для передачи своего кода по сети, даже если компьютер подключен к Интернету. Другое дело, если пользователь сам передаст зараженный файл – тогда можно и по Интернету заразиться «классикой». Если такое произошло, то знайте, что вирус вам отправил сам пользователь. И непонятно, умышленно или нет. Хотя «классику» можно получить не только по электронной почте. Файл, зараженный классическим вирусом, можно скопировать по сети. Ведь во многих организациях есть своя собственная локальная сеть. Все пользователи открывают определенные каталоги для общего доступа. Вот кто-то выложил зараженную программу, например игру, а вы ее скопировали и… Что будет дальше – знает только сам вирус.
Что делают классические вирусы? Это зависит от самого вируса. Есть практически «безвредные» вирусы – они периодически просто выводят сообщение о том, что компьютер инфицирован. Так вирусописатели удовлетворяют собственное Я. Да, тщеславие – один из самых страшных грехов. Это я о том, что таким образом вирусописатели хотят сообщить миру о своем существовании.
Есть и другие вирусы, которые в один не очень прекрасный момент удаляют все файлы с жесткого диска или вообще удаляют всю таблицу разделов. Приятного в этом мало. Вот поэтому чем раньше будет обнаружен вирус, тем лучше.
Ясно одно: любой вирус тормозит работу компьютера. Ведь он добавляет свои копии в каждый инфицированный файл. Код вируса запускается вместе с запуском программы и выполняет свои действия – то ли проверяет дату и решает, не пора ли удалить все файлы на жестком диске, то ли просто выводит сообщение о том, что компьютер заражен. В любом случае это «тормозит» компьютер, занимая драгоценное процессорное время.
Троянские программы
Все мы знаем легенду о троянском коне. Троянский царевич Парис украл гречанку Елену из Спарты. Ее муж со своим братом собрал войско и пошел на Трою. После длительной и безуспешной осады греки соорудили огромного деревянного коня, оставили его возле стен Трои, а сами сделали вид, что уплывают. На боку коня было написано, что это подарок от греков. Троянцы втащили коня в город. Ночью греки, которые прятались внутри коня, вышли из него и открыли ворота города, через которые вошли заранее вернувшиеся воины.
Троянские программы содержат в себе коварный замысел. Они обещают выполнять какие-то полезные действия, например ускорять работу Интернета (сколько ж я видел этих троянских оптимизаторов Интернета!) или работу всего компьютера, а сами тем временем только и ждут, пока пользователь их установит. После этого троянские программы могут осуществлять разные несанкционированные пользователем действия. Например, предоставлять злоумышленнику доступ к вашему компьютеру, передавать «создателю» вашу личную информацию (например, пароли), использовать ресурсы вашего компьютера в различных целях (да, ваш компьютер может использоваться для распределенной DOS-атаки другого компьютера или для подбора паролей).
Вообще троянские программы довольно интересны с той точки зрения, что они используют одну из самых успешных технологий взлома компьютера – социальный инжиниринг. Зачем изучать уязвимости операционных систем, протоколы Интернета и прочие сведения, необходимые для взлома компьютера и установки своей программы на него, если можно просто попросить пользователя установить программу на свой компьютер (или выложить программу в Интернете, пообещав пользователю «золотые горы»)? Зачем взламывать компьютер администратора, если можно напоить его пивом – он и так вам предоставит все необходимые права. Идею вы уловили? В этом и заключается смысл троянской программы.
Сетевые черви
Сетевые черви – один из самых распространенных в наши дни типов вирусов. Сетевые черви распространяются по сети – локальной или глобальной. Основная их цель – это проникновение на удаленный компьютер, запуск кода на удаленном компьютере и передача кода на другие удаленные компьютеры.
Сетевые черви могут использовать для своего распространения самые разные службы: электронную почту, системы мгновенного обмена сообщениями, пиринговые сети (P2P), локальные сети и даже сети мобильных операторов (да, есть вирусы для мобильников!).
Помню, один раз знакомому пришла MMS-ка. При ее открытии все команды меню телефона были переименованы, причем с использованием явно нецензурных выражений. При попытке удалить MMS-ку телефон выключался. Удалить ее получилось, только подключив телефон к компьютеру. А вот чтобы вернуть меню в исходное состояние, пришлось перепрошить телефон (переустановить встроенное программное обеспечение телефона).
Большинство сетевых вирусов распространяется в виде файлов, например файл-вложение в электронном письме или просто ссылка на зараженный файл и т. д. Если вам пришло письмо от неизвестного вам человека, содержащее файл-вложение, то лучше сразу удалить письмо, не открывая вложение. Если же письмо пришло от известного вам человека, перед открытием вложения нужно проверить его антивирусом (Антивирус Касперского, который будет рассмотрен позже, позволяет автоматически проверить все вложения электронного письма и вообще все открываемые файлы). Если же вам пришла ссылка от незнакомого человека, то лучше вообще удалить письмо, забыв об этой ссылке раз и навсегда. Вы что думаете, что это будет ссылка на exe-файл? Нет, это может быть ссылка на обычный html-файл, содержащий в своем коде вызов активного элемента управления. А активные элементы управления обычно для выполнения загружаются на ваш компьютер. Вот так вирусы и проникают на компьютер пользователя. В этой главе мы поговорим о правилах безопасной работы в Интернете, поэтому сейчас не будем тратить на это время.
Есть также пакетные черви, которые распространяются в виде сетевых пакетов. Здесь вам поможет только брандмауэр или антивирус, работающий в режиме монитора.
Чтобы проникнуть на удаленные компьютеры, сетевые черви обычно используют следующие методы: социальный инжиниринг (в тексте письма вам такого понаобещают, что вы сразу же откроете присоединенный файл!), ошибки в настройках сети или «дыры» в операционной системе и приложениях. С первым бороться можете только вы сами, антивирус лишь может заблокировать запущенный файл, а еще лучше вообще ничего не запускать подозрительного. С неправильной настройкой сети и дырами в ОС и приложениях вам поможет справиться брандмауэр – о том, что это такое, мы поговорим в следующей главе.
Что делают черви? Это зависит от реализации червя, но в основном черви используются даже не для причинения вреда вашим файлам, а для того, чтобы использовать ресурсы вашего компьютера. Вы только представьте, что будет, если злоумышленник выпустит в сеть своего червя. У него будет армия из сотни тысяч инфицированных узлов. Одна команда, и все эти узлы будут атаковать узел-жертву. Понятно, что такой атаки ни один сервер не выдержит. Это и есть пример распределенной атаки на отказ (DОS-атаки).
Прочие вредоносные программы
Вы даже не можете себе представить, сколько существует различных вредоносных программ, которые якобы вирусами не являются, но не делают ничего полезного. Есть программы, которые скрывают вирусы от антивирусной проверки, есть просто программки, затрудняющие работу с компьютером, есть даже «лаборатории» для создания вирусов, сетевых червей и троянских программ – так называемые конструкторы. Если у вас есть желание почитать обо всей этой нечисти, посетите сайт http://www.virus– list.com/ru/ – это самая полная энциклопедия вирусов и вредоносных программ.
С чего все началось
Теорий возникновения первого вируса много. Но ясно одно: в 1961 году в лаборатории компании Bell Telephone Labaratories была изобретена игра Darwin, в которой несколько программ, которые назывались организмами, сражались за ресурсы компьютера. Те программы не были вирусами в прямом смысле этого слова, но их механизмы очень похожи на механизмы компьютерных вирусов, которые появятся позже. Интересно выходит – все началось с игры.
Также интересно то, что впервые термин «компьютерный вирус» был использован в фантастическом фильме Westworld для обозначения программы, которая внедрилась в компьютерную систему. Это было в 1973 году. Создатели фильма, наверное, и не догадывались, что через каких-то 10-15 лет все это станет реальностью. Вообще это стало реальностью даже раньше, спустя восемь лет. В 1981 году появился вирус Elk Cloner для компьютеров Apple II, которые были распространены в то время больше, чем IBM PC.
Вирус Elk Cloner записывался в загрузочные секторы дискет – так он передавался от компьютера к компьютеру. Вирус не делал никаких разрушительных действий – он «переворачивал» изображение на экране и выводил различные сообщения. Но тогда Elk Cloner не назывался вирусом, хотя на самом деле он им являлся.
Впервые термин «компьютерный вирус» в реальной жизни, а не в фантастическом фильме был употреблен Лено Эйделманом в 1983 году. В этом же году на конференции по компьютерной безопасности была продемонстрирована программа, способная внедряться в другие объекты.
А три года спустя, в 1986 году, была зарегистрирована целая эпидемия вируса для IBM-совместимых компьютеров – это был вирус Brain, заражающий загрузочные секторы дискет. Интересно, что всего за несколько месяцев вирус распространился практически по всему миру. А тогда ведь не было Интернета в современном его понимании, да и вирус заражал не файлы (ведь файл можно отправить по сети кому-то), а загрузочные секторы дискет. Нужно сказать, что почта тогда работала на высшем уровне – передавала инфицированные дискеты по всему миру.
Самое интересное, что вирус Brain был написан в Пакистане. 19-летним вирусописателем. Вирусо-писателя нашли быстро – он оставил в вирусе текстовое сообщение со своим именем, адресом и даже телефонном. Вирус был написан ради эксперимента – он не уничтожал информацию, а просто распространялся. Кстати, данный вирус интересен тем, что он был первым вирусом-невидимкой (stealth): если программа пыталась прочитать зараженный загрузочный сектор, то вирус подставлял незараженный оригинал, поэтому обнаружить его было сложно.
В восьмидесятых годах вирусов было относительно мало, но из-за отсутствия антивирусных программ они получали широкое распространение. Появление каждого вируса было настоящим событием (ну, события бывают разными – никто же не говорил, что это приятное событие). А вот в начале девяностых с дальнейшим распространением персональных компьютеров вирусов становилось все больше и больше.
В начале девяностых появилось особое поколение компьютерных вирусов – полиморфные вирусы. Первым полиморфным вирусом стал Хамелеон (Chameleon). Особенностью полиморфных вирусов является то, что в процессе размножения они изменяют свой код – код тела вируса. Антивирусные программы того времени оказались малоэффективными – ведь они искали образцы кода вируса, а поскольку код его менялся с каждой копией, найти вирус было практически невозможно.
Конечно, вскоре (на самом деле прошел чуть ли не год) разработчики антивирусных программ отреагировали на появление полиморфного вируса и разработали алгоритм, позволяющий находить полиморфные вирусы. Сегодня техника обнаружения полиморфных вирусов является обязательной функцией современного антивируса.
Во второй половине 1990 года появились два стелз– вируса (вирусы-невидимки) – Whale и Frodo. Оба вируса характеризовались очень сложными механизмами сокрытия своего присутствия в системе.
Еще в 1990 году были обнаружены первые отечественные вирусы. Они назывались Peterburg, Voronezh и LoveChild.
Вирусы стали настоящей проблемой компьютерной безопасности, поэтому в декабре 1990 года был создан Европейский институт компьютерных антивирусных исследований (EICAR – European Institute for Computer Antivirus Research). Он находится в Гамбурге (Германия).
Что было дальше? Популяция вирусов росла и уже к 1991 году достигла нескольких сотен. Если рассматривать каждый вирус отдельно, то не то что этой книги не хватит – получится энциклопедия куда больше Большой светской энциклопедии. Но некоторые особо злостные вирусы нужно отметить.
В 1994 году появился вирус OneHalf. Помню, он даже инфицировал мой компьютер, только произошло это в 1997 году – в отличие от первых вирусов, этот прожил намного дольше. Думаю, что этот вирус до сих пор живет на некоторых старых компьютерах.
В том же 1994 году появился отечественный вирус ЗАРАЗА (очень подходящее название). Это был файлово-загрузочный вирус, который очень необычным образом внедрялся в MS-DOS.
Год спустя был обнаружен первый макровирус – да, тот, который заражает документы MS Office. Он назывался Concept и за месяц облетел весь мир. Как это ему удалось? Отчасти распространению вируса помогла корпорация Digital Equipment Corporation (DEC), распространившая дискету с вирусом на конференции в Дублине. Этот вирус положил начало макровирусам. Интересно, что в природе существует более 100 модификаций только этого макровируса.
Кстати, в октябре 1996 года на сайте Microsoft был выложен документ Word, содержащий макровирус (он назывался Wazzu)! А чуть позже этот же вирус попал на компакт-диск Microsoft Solution Provider. Такое впечатление, как будто Microsoft сама распространяла вирусы.
В 1996 году появился первый резидентный вирус (Win95.Punch): он перехватывал обращения к файлам и заражал их.
1998 год известен мировой эпидемией вируса Win95.CIH: число зараженных сетей и отдельных компьютеров исчислялось тысячами. Эпидемия началась в Тайване, оттуда вирус попал в США, а дальше распространился по всему миру. Исходные коды вируса были доступны всем желающим, и кто угодно мог его откомпилировать. Это способствовало еще большему распространению вируса. Особенностью вируса было то, что в зависимости от текущей даты (поскольку коды вируса распространялись открыто, то дата срабатывания вируса зависела от его модификации) он удалял всю информацию с жесткого диска и стирал Flash BIOS, что в некоторых случаях могло привести к замене материнской платы. Наверное, это был первый вирус, который портил не только данные, но и «железо».
Еще в 1998 году появился вирус BackOrifice (Backdoor.BO). Это не вирус в прямом смысле слова, а backdoor – черный ход. Данная утилита открывала злоумышленникам «черный ход» в вашу систему и позволяла управлять ею. Позже появилось много аналогичных программ (в том числе NetBus).
В 1999 году – еще одна эпидемия. На этот раз компьютерный мир встречал вирус Melissa, который сочетал в себе возможности макровируса и сетевого червя. После того как вирус попадал на компьютер пользователя, он считывал адресную книгу программы Outlook и рассылал ее абонентам свои копии. Причем копии отправлялись от имени пользователя, то есть получатели думали, что это пользователь отправил им письмо. Вирус вынудил Microsoft, Intel и других гигантов компьютерной индустрии временно отключить свои почтовые серверы. Ущерб от деятельности вируса составил несколько миллионов долларов США.
Не успела Microsoft в 2000 году представить свою новую операционную систему – Windows 2000, как подпольная группа 29А (эдакие партизаны) представила вирус Inta, который был первым вирусом, корректно инфицирующим Windows 2000.
А еще в 2000 году в Книгу рекордов Гиннесса попал вирус LoveLetter. Он распространялся по электронной почте в виде VBS-скрипта, замаскированного под текстовый файл. После запуска он уничтожал все файлы с определенным расширением и рассылал свои копии по всем адресам, которые были занесены в адресную книгу MS Outlook. Поскольку код вируса был доступен всем, началась целая волна подобных вирусов – на данный момент известно 90 модификаций вируса LoveLetter.
Сейчас наиболее популярны сетевые черви. Примечательно, что в основном вирусы поражают только наиболее уязвимую операционную систему Windows. Операционная система Linux менее подвержена действию вирусов, но и для нее есть вирусы. Хотя я не слышал ни об одном опасном Linux-вирусе, а тем более о Linux-вирусе, породившем эпидемию. Интересно, что в природе существует всего лишь 41 вирус для Linux (если не считать модификаций, с модификациями на данный момент – 1105 вирусов).
Антивирусы
Интересно, чего больше: вирусов или антивирусов? Наверное, все-таки больше вирусов, но антивирусов тоже немало. Наиболее популярными на наших просторах являются Антивирус Касперского (www. kaspersky.ru), DrWeb (www.dr-web.ru), Norton AntiVirus (www.symantec-antivirus.ru). Первые два антивируса разработаны отечественными компаниями, и все три антивируса являются коммерческими. Возможности всех этих трех антивирусов примерно одинаковые: защита от классических вирусов, сетевых червей, шпионских программ, работа в режиме сканера (когда вы сами запускаете антивирусную проверку) и монитора (когда все открываемые вами файлы проверяются автоматически). Я остановил свой выбор на Антивирусе Касперского, который и будет рассмотрен в этой книге. Вы же можете использовать любой другой антивирус.
Если вам нужен бесплатный антивирус, то вы можете попробовать установить следующие антивирусы:
Скачать программу можно по адресу:
После загрузки распакуйте и запустите антивирус (файл avz.exe). Прежде всего нужно обновить базы данных. Для этого выполните команду Файл, Обновление баз. После этого нажмите кнопку Пуск для проверки компьютера.
Рис. 9.9. Антивирус Зайцева
Антивирус может работать в режиме монитора (AVZGuard, Включить AVZGuard), но я вам настоятельно рекомендую в качестве основного монитора использовать Антивирус Касперского, а Антивирус Зайцева пусть будет вашей козырной картой в нештатных ситуациях, когда Антивирус Касперского не сможет вам помочь. Только не забывайте хотя бы раз в неделю обновлять AVZ, иначе толку от него не будет!
Правила безопасной работы в Интернете
Как работать в Интернете, чтобы не подцепить вирус? Вот основные правила:
При работе в Интернете не забывайте запускать антивирус в режиме монитора. Что же касается Антивируса Касперского, то после установки он добавляется в автозапуск;
Желательно установить брандмауэр. О том, что это такое, вы узнаете в следующей главе.
Помните, что в состав Антивируса Касперского уже входит брандмауэр – АнтиХакер, который не совместим с другими брандмауэрами;
Никогда не загружайте (и тем более не открывайте) файлов, загрузку которых вы не запрашивали. Бывает так, что работаешь в Интернете, и тут ни с того и ни с сего появляется окно загрузки файла. Нужно нажать кнопку Отмена и скорее закрыть окно браузера;
Для регистрации на форумах, чатах, досках объявлений используйте не основной, а дополнительный электронный адрес. Его всегда можно создать на бесплатном почтовом сервере, например на Mail.Ru. Это оградит ваш основной почтовый ящик от спама – рассылки нежелательной корреспонденции рекламного характера;
Не открывайте письма (как электронные, так и ICQ-сообщения) от незнакомых людей, которые содержат вложения. Все письма от знакомых нужно проверять антивирусом. Чтобы не запускать антивирус каждый раз при получении нового письма, убедитесь, что он работает в режиме монитора;
Где большая вероятность инфицировать свой компьютер? Обычно вирус можно подхватить на порносайтах, на сайтах с пиратским программным обеспечением (креками, генераторами серийных номеров). Лучше вообще такие сайты не посещать.
Компьютерные вирусы и антивирусные программы
Типы компьютерных вирусов
Первая массовая эпидемия компьютерного вируса произошла в 1986 году, когда вирус Brain "заражал" дискеты для первых массовых персональных компьютеров. В настоящее время известно несколько десятков тысяч вирусов, заражающих компьютеры с различными операционными системами и распространяющихся по компьютерным сетям.
Обязательным свойством компьютерного вируса является способность к размножению (самокопированию) и незаметному для пользователя внедрению в файлы, загрузочные секторы дисков и документы. Название "вирус" по отношению к компьютерным программам пришло из биологии именно по признаку способности к саморазмножению.
После заражения компьютера вирус может активизироваться и заставить компьютер выполнять какие-либо действия. Активизация вируса может быть связана с различными событиями (наступлением определенной даты или дня недели, запуском программы, открытием документа и так далее).
Компьютерные вирусы являются программами, которые могут "размножаться" и скрытно внедрять свои копии в файлы, загрузочные секторы дисков и документы. Активизация компьютерного вируса может вызывать уничтожение программ и данных.
Разнообразны последствия действия вирусов; по величине вредных воздействий вирусы можно разделить на:
- неопасные, влияние которых ограничивается уменьшением свободной памяти на диске, графическими, звуковыми и другими внешними эффектами;
- опасные, которые могут привести к сбоям и зависаниям при работе компьютера;
- очень опасные, активизация которых может привести к потере программ и данных (изменению или удалению файлов и каталогов), форматированию винчестера и так далее.
По "среде обитания" вирусы можно разделить на файловые, загрузочные, макровирусы и сетевые .
Файловые вирусы. Файловые вирусы различными способами внедряются в исполнимые файлы (программы) и обычно активизируются при их запуске. После запуска зараженной программы вирус находится в оперативной памяти компьютера и является активным (то есть может заражать другие файлы) вплоть до момента выключения компьютера или перезагрузки операционной системы.
При этом файловые вирусы не могут заразить файлы данных (например, файлы, содержащие изображение или звук).
Профилактическая защита от файловых вирусов состоит в том, что не рекомендуется запускать на выполнение файлы, полученные из сомнительного источника и предварительно не проверенные антивирусными программами.
Загрузочные вирусы. Загрузочные вирусы записывают себя в загрузочный сектор диска. При загрузке операционной системы с зараженного диска вирусы внедряются в оперативную память компьютера. В дальнейшем загрузочный вирус ведет себя так же, как файловый, то есть может заражать файлы при обращении к ним компьютера.
Профилактическая защита от таких вирусов состоит в отказе от загрузки операционной системы с гибких дисков и установке в BIOS вашего компьютера защиты загрузочного сектора от изменений.
Макровирусы. Макровирусы заражают файлы документов Word и электронных таблиц Excel. Макровирусы являются фактически макрокомандами (макросами), которые встраиваются в документ.
После загрузки зараженного документа в приложение макровирусы постоянно присутствуют в памяти компьютера и могут заражать другие документы. Угроза заражения прекращается только после закрытия приложения.
Профилактическая защита от макровирусов состоит в предотвращении запуска вируса. При открытии документа в приложениях Word и Excel сообщается о присутствии в них макросов (потенциальных вирусов) и предлагается запретить их загрузку. Выбор запрета на загрузку макросов надежно защитит ваш компьютер от заражения макровирусами, однако отключит и полезные макросы, содержащиеся в документе.
Сетевые вирусы. По компьютерной сети могут распространяться и заражать компьютеры любые обычные вирусы. Это может происходить, например, при получении зараженных файлов с серверов файловых архивов. Однако существуют и специфические сетевые вирусы, которые используют для своего распространения электронную почту и Всемирную паутину.
Интернет-черви (worm) - это вирусы, которые распространяются в компьютерной сети во вложенных в почтовое сообщение файлах. Автоматическая активизация червя и заражение компьютера могут произойти при обычном просмотре сообщения. Опасность таких вирусов состоит в том, что они по определенным датам активизируются и уничтожают файлы на дисках зараженного компьютера.
Кроме того, интернет-черви часто являются троянами , выполняя роль "троянского коня", внедренного в операционную систему. Такие вирусы "похищают" идентификатор и пароль пользователя для доступа в Интернет и передают их на определенный почтовый адрес. В результате злоумышленники получают возможность доступа в Интернет за деньги ничего не подозревающих пользователей.
Лавинообразная цепная реакция распространения вируса базируется на том, что вирус после заражения компьютера начинает рассылать себя по всем адресам электронной почты, которые имеются в адресной книге пользователя. Кроме того, может происходить заражение и по локальной сети, так как червь перебирает все локальные диски и сетевые диски с правом доступа и копируется туда под случайным именем.
Профилактическая защита от интернет-червей состоит в том, что не рекомендуется открывать вложенные в почтовые сообщения файлы, полученные из сомнительных источников.
Особой разновидностью вирусов являются активные элементы (программы) на языках JavaScript или VBScript, которые могут выполнять разрушительные действия, то есть являться вирусами (скрипт-вирусами ). Такие программы передаются по Всемирной паутине в процессе загрузки Web-страниц с серверов Интернета в браузер локального компьютера.
Профилактическая защита от скрипт-вирусов состоит в том, что в браузере можно запретить получение активных элементов на локальный компьютер.
Вопросы для размышления
1. К каким последствиям может привести заражение компьютерными вирусами?
2. Какие типы компьютерных вирусов существуют, чем они отличаются друг от друга и какова должна быть профилактика заражения?
3. Почему даже чистая отформатированная дискета может стать источником заражения вирусом?
Компьютерный вирус - это программный код, встроенный в другую программу, или в документ, или в определенные области носителя данных и предназначенный для выполнения несанкционированных действий на несущем компьютере.
Основными типами компьютерных вирусов являются:
Файловые вирусы;
Загрузочные вирусы;
Комбинированные вирусы;
Программные вирусы;
Макровирусы;
«Троянские» программы;
Полиморфные вирусы;
Стелс – вирусы.
Файловые вирусы
Файловые вирусы, поражают исполняемые файлы. При запуске инфицированного исполняемого файла вирус получает управление, проводит некоторые действия и передает управление «хозяину». Вирус ищет новый объект для заражения – подходящий по типу файл, который еще не заражен. Заражая файл, вирус внедряется в его код, чтобы получить управление при запуске этого файла. Заражая исполняемый файл, вирус, всегда изменяет его код, поэтому заражение исполняемого файла можно проследить. Информация о файлах хранится в каталогах. Каждая запись каталога включает в себя имя файла, дату и время создания, дополнительную информацию, номер первого кластера файла и т.н. резервные байты. Последние оставлены «про запас» и самой операционной системой не используются.
При запуске исполняемых файлов система считывает из записи в каталоге первый кластер файла и т.д. все остальные кластеры.
Т.о. при запуске любого файла, вирус получает управление (ОС запускает его сама), резидентно устанавливает в память и передает управление вызванному файлу.
Программные вирусы
Программные вирусы - это блоки программного кода, целенаправленно внедренные внутрь других прикладных программ. При запуске программы, несущей вирус, происходит запуск имплантированного в нее вирусного кода. Работа этого кода вызывает скрытые от пользователя изменения в файловой системе жестких дисков и/или в содержании других программ. Так, например, вирусный код может воспроизводить себя в теле других программ - этот процесс называется размножением. По прошествии определенного времени, создав достаточное количество копий, программный вирус может перейти к разрушительным действиям - нарушению работы программ и операционной системы, удалению информации, хранящейся на жестком диске. Этот процесс называется вирусной атакой. Самые разрушительные вирусы могут инициировать форматирование жестких дисков. Поскольку форматирование диска - достаточно продолжительный процесс, который не должен пройти незамеченным со стороны пользователя, во многих случаях программные вирусы ограничиваются уничтожением данных только в системных секторах жесткого диска, что эквивалентно потере таблиц файловой структуры. В этом случае данные на жестком диске остаются нетронутыми, но воспользоваться ими без применения специальных средств нельзя, поскольку неизвестно, какие сектора диска каким файлам принадлежит. Теоретически восстановить данные в этом случае можно, но трудоемкость этих работ исключительно высока.
Считается, что никакой вирус не в состоянии вывести из строя аппаратное обеспечение компьютера. Однако бывают случаи, когда аппаратное и программное обеспечение настолько взаимосвязаны, что программные повреждения приходится устранять заменой аппаратных средств. Так, например, в большинстве современных материнских плат базовая система ввода-вывода (BIOS) хранится в перезаписываемых постоянных запоминающих устройствах (так называемая флэш-память). Возможность перезаписи информации в микросхеме флэш-памяти используют некоторые программные вирусы для уничтожения данных BIOS. В этом случае для восстановления работоспособности компьютера требуется либо замена микросхемы, хранящей BIOS, либо ее перепрограммирование на специальных устройствах, называемых программаторами.
Программные вирусы поступают на компьютер при запуске непроверенных программ, полученных на внешнем носителе (гибкий диск, компакт-диск и т. п.) или принятых из Интернета, i Особое внимание следует обратить на слова при запуске. При обычном копировании зараженных файлов заражение компьютера произойти не может. В связи с этим все данные, принятые из Интернета, должны проходить обязательную проверку на безопасность, а если получены незатребованные данные из незнакомого источника, их следует уничтожать, не рассматривая. Обычный прием распространения "троянских" программ - приложение к электронному письму с "рекомендацией" извлечь и запустить якобы полезную программу.
