Файловые вирусы

Классификация компьютерных вирусов

К настоящему времени в мире информатики уже насчитывается достаточное количество фактов, позволяющих провести определенный анализ и классификацию.

Настоящие вирусы (к которым не относятся программы типа “троянский конь”) состоят, по крайней мере, из двух функционально разделенных компонентов. Один из них отвечает за размножение, а второй выполняет задачу по нанесению ущерба. Компонент, ответственный за размножение, включает в себя все те функции, которые необходимы для распространения вируса, в частности поиск неинфицированных программ, внесение в них изменений, внедрение в оперативную память и, наконец, выполнение маскировочных мероприятий.

Компонент, выполняющий задачу по нанесению ущерба, вступает в действие как правило после завершения работы той части вируса, которая отвечает за размножение. Почти всегда для этого компонента четко определяются условия начала его работы (пуска) и предусматривается их проверка при каждой активизации вируса. Если эти условия не соблюдены, то работы данного компонента прекращается и не происходит ничего, чтобы могло бы броситься в глаза. Это объясняет почему вирусные инфекции очень часто могут оставаться незамеченными на протяжение длительного времени. Вирус “спит” пока не наступит определенный момент.

Если же указанные условия соблюдаются, то вступает в действие компонент, выполняющий разрушительную функцию. Последствия при этом могут быть разными: от невинных эффектов на экране, необъяснимых нарушений работы портов и до полной потери всех данных на жестких дисках или на дискетах. Довольно часто происходит весьма сложное искажение данных так, что ущерб в полной мере можно обнаружить только по истечению значительного времени.

В принципе, все вирусы с технической точки зрения делятся на две большие группы, отличающиеся друг от друга по объекту внедрения: файловые и системные.

Файловые вирусы составляют наиболее многочисленную группу и в свою очередь разделяются по способу воздействия на две подгруппы: вирусы необратимой модификации (ueberschreibende Viren) и вирусы гибкой модификации (nicht ueberschreibende Viren). Вирусы необратимой модификации разрушают программы (файлы) благодаря своему механизму размножения, в результате чего начало программы сразу же заменяется машинным кодом вируса. Измененные программы становятся неработоспособными непосредственно после воздействия на них и поэтому данный тип вирусов быстро обнаруживается и его возможности по распространению и нанесению ущерба ограничен.

Вирусы гибкой модификации, называемые также прикрепляющимися вирусами (link-viruses), более опасны, поскольку их присутствие в системе обнаружить не легко. Такие вирусы “повисают” на программах и, несмотря на произведенные изменения, они способны восстановить прежний вид этих программ непосредственно перед их пуском. Обычно заражение вирусом можно обнаружить только путем сравнения размеров файла с оригиналом.

По способу использования оперативной памяти файловые вирусы бывают резидентные (размещаемые в памяти резидентно) и нерезидентные (удаляются из памяти вместе с выгружаемой инфицированной программой. В специальной терминологии резидентные называются вирусами непрямого действия (indirect action viruses), а нерезидентные - вирусами прямого действия (direct action viruses).

Большинство файловых вирусов (но не все) при вызове зараженных ими программ резидентно инсталлируются в оперативную память, благодаря чему они в той или иной степени могут контролировать систему и, таким образом, эффективно распространяться. Передача инфекции происходит не прямым способом, то есть не в момент загрузки зараженной программы, а в результате последующего функционирования системы, например при последовательной загрузке еще не зараженных программ. Большинство представителей этого подвида заражают программы только при выполнении определенных команд ОС, связанных с загрузкой и запуском программ, в момент обращения к этим командам. Однако некоторые вирусы обладают более сильным и совершенным механизмом, способным распространять инфекцию при выполнении всего перечня файловых команд, осуществляющих открытие, закрытие, копирование и перенос файлов. Поэтому простая проверка программных файлов (путем их открытия для просмотра) на предмет инфекции в этом случае принесет больше вреда, чем пользы.

Другой подвид файловых вирусов (прямого действия) не остается в оперативной памяти резидентно, а только лишь при запуске инфицированной программы такой вирус начинает искать другие программы и пытается их заразить. В этом случае при загрузке неинфицированной программы не происходит ни её заражения, ни дальнейшего распространения инфекции.

Дата добавления: 2014-01-20