Сучасна класифікація вірусів

Перші програми, схожі на комп'ютерні віруси, було ство­рено в 1972 p. (гра «Дарвін») і в 1976 p. (системна програма WORM («Хробак»)). У 1984 p. було поширено гру ANIMAL («Тварина»), яка мала майже всі риси сучасного комп'ютер­ного вірусу. Програма, реалізо­вана як гра, пропонувала грав­цю задумати якусь тварину і за певний час намагалася за допо­могою уточнювальних запи­тань (чи має шерсть, чи живе у воді тощо) відгадати задумане. Якщо програма не встигала відгадати назву задуманої тва­рини, то просила гравця по­відомити, яке запитання по­трібно поставити, щоб відгада­ти. Програма запам'ятовувала це запитання й у такий спосіб «самонавчалася». Але розроб­ник такої програми використо­вував, імовірно, той факт, що на його комп'ютері будь-якому користувачу виділявся власний каталог для роботи, але не було механізму захисту каталогу від інших користувачів (або про­грам). Програміст змінив гру так, що після кожного «навчан­ня» програма копіювала себе в каталог іншого користувача. Гра була популярною, і незаба­ром усі комп'ютери фірми вже мали програму, яка повільно розмножувалася. Ситуація не була небезпечною, але чис­ленні копії гри дуже засмічува­ли дисковий простір. Знищен­ня копій не дало потрібного ефекту: достатньо було зали­шити одну копію — і незаба­ром розмноження повторюва­лося знову. Проблему було ви­рішено за допомогою засобу, який за сучасною термінологією мож­на назвати антивірусом.

У 1985 p. було опубліковано гру «Core War» («Війна в пам'яті»). У ній два гравці пишуть по одній програмі мовою низького рівня. Програми вмішуються у велику циклічно замк­нуту ділянку пам'яті. Кожна команда займає одну комірку пам'яті ЕОМ. Керуюча програма по черзі виконує по одній команді з кожної програми, як це робить найпростіша система ре­ального часу. Програми гравців атаку­ють одна одну, намагаючись уникну­ти ушкоджень і відновлюючи ушко­джені ділянки. Найпростіша атака — це використання команди MOV (запи­сати в пам'ять). Наприклад, MOV 1000 може «вбити наповал» ворожу програ­му, якщо потрапить у наступну ко­манду (тобто якщо наступна викону­вана команда «ворога» знаходиться за адресою 1000), або «поранити», якщо за адресою 1000 у «ворога» записані дані або команди, чи «не влучити», якщо комірка за адресою 1000 «воро­гом» не використовується.

«Справжні» віруси, тобто програ­ми, орієнтовані на те, щоб завдати збитків, з'явилися на початку 80-х pp. XX ст. Це пов'язано з появою ПЕОМ і має характер протистояння користувачів групі безвідповідальних або кримінальних елементів. Перші випадки масового зараження ком­п'ютерів було зафіксовано 1987 p. Так, лехайський вірус, що з'явився в однойменному університеті США, впродовж кількох днів знищив вміст кількох сотень дискет як з публічної бібліотеки університету, так і особис­тих дискет студентів. У грудні 1987 p. було виявлено вірус у Ієрусалимському університеті (Ізраїль). Хоча істот­ної шкоди цей вірус не завдав, він швидко поширився по всьому світу і, вочевидь, є першим вірусом, поши­рення якого набуло характеру пан­демії. 1988 p. ця проблема в країнах США і Західної Європи стала пріо­ритетною. Особливу увагу громадсь­кості привернув так званий вірус Морріса. Другого листопада 1988 p. Роберт Морріс-молодший, аспірант факультету інформатики Корнелльського університету, інфікував за допомогою написаного ним вірусу ве­лику кількість комп'ютерів (орієн­товно 6000), підключених до амери­канської національної мережі Інтернет. Хоча ніякої втрати або зміни даних не відбулося, корис­тувачі Інтернету втратили багато тисяч годин робочого часу. До кінця 1989 p. у деяких країнах (США, Великобританія, ФРН) розглядали закони щодо кримі­нальної відповідальності розроб­ників і розповсюджувачів ком­п'ютерних вірусів (у США — до 15 років позбавлення волі). Це дає змогу, окрім програмних і організаційних заходів для бо­ротьби з вірусами, застосувати й правові методи. Тому важливим аспектом боротьби з комп'ютер­ними вірусами стає виявлення злочинця або злочинної групи, відповідальної за створення або поширення відповідного вірусу.

Для більшості комп'ютерних вірусів, так само, як для біо­логічних, характерний певний інкубаційний період, упродовж якого виконувані вірусом несанкціоновані дії обмежуються зараженням інших програм. Інфікуючи програми або носії, віруси можуть поширюватися від однієї програми до іншої, що робить комп'ютерні віруси не­безпечнішими порівняно з ін­шими методами комп'ютерного вандалізму. Операційна система типу MS-DOS, що відрізняється практично повною відсутністю захисту від несанкціонованих дій, полегшує розробку вірусів. Однак комп'ютерні віруси не є програмами, що використовують помилки або недоліки конкрет­ної ОС. Для забезпечення їхньо­го функціонування цілком дос­татньо звичайних операцій, ви­користовуваних більшістю «нормальних» програм. Тому прин­ципово не може існувати універ­сального методу, що захищає ОС від поширення будь-якого віру­су. Проте можна значно усклад­нити завдання створення і по­ширення комп'ютерних вірусів, застосовуючи спеціальні методи в ОС та використовуючи додат­кові резидентні і нерезидентні програмні засоби захисту.

Наслідки дії комп'ютерних вірусів:

1) відмова системи у вико­нанні певної функції (наприклад, блокування вірусом RC-1701 за­вантаження програми з захищеної від запису дискети), виконання дій, не передбачених програмою (наприклад, зміна даних у будь-якому файлі);

2) руйнування окремих файлів, керуючих блоків або усієї файлової системи (фор­матування диска, видалення файла тощо);

3) видача помилкових, дратівливих повідомлень (на­приклад: «Скажи «бебе»);

4) створення звукових або візуальних ефектів (наприклад, падіння літер у вірусі RC-1701, уповільнене виконання про­грами у вірусі RCE-1913, про­гравання мелодії в RCE-1805 або поява на екрані рухомого ромбика у ВхІ-ІС тощо);

5) ініціювання помилок або збоїв у програмі чи ОС (наприклад, переповнення стека);

6) перезавантаження або «за­висання» операційної системи;

7) блокування доступу до системних ресурсів (розрос­тання заражених файлів за ра­хунок їх багаторазового пов­торного зараження;

8) неможливість переда­вання зараженій програмі па­раметрів, уповільнення робо­ти комп'ютера шляхом вико­нання пустого циклу з кіль­кох команд після кожного переривання таймера);

9) імітація збоїв апаратури (перетворення частини клас­терів на псевдозбійні на дис­кеті або вінчестері, «зависання» комп'ютера через якийсь час після перезавантаження ОС);

10) прискорення зношу­вання обладнання або спроби його псування.

Збитки, яких завдають віруси, можуть мати катастро­фічний характер (знищення вінчестера), якщо в них три­валий «інкубаційний період». Або навпаки: вірус може спричиняти незначні ушко­дження даних, які набагато складніше виявити. Через це дії таких вірусів набагато небезпечніші, ніж масове руй­нування даних.

Найбільш незахищена час­тина файлової системи типу MS-DOS — таблиця розмі­щення файлів. Якщо вона зруйнована, то ОС не може визначити місцезнаходження файла, хоча самі файли не ушкоджено. Вірус може також виконувати формалізацію де­яких ділянок диска, які містять системні дані. Тому необхідно часто дублювати керуючі дані файлової систе­ми на іншу, заздалегідь відо­му ділянку диска або на дис­кету. Для цього можна вико­ристовувати, наприклад, ути­літи Нортон. На комп'ютерах типу AT дані про конфігура­цію системи (тип установле­ного вінчестера тощо) зберіга­ються в невеличкій енергонезалежній пам'яті (CMOS). Знищення вмісту CMOS-па­м'яті унеможливлює заванта­ження з вінчестера. Віднов­лення CMOS-пам'яті потре­бує знання всіх технічних да­них про вінчестер. Тому цей тип пам'яті також є потенцій­ним об'єктом атаки вірусу.

Комп'ютерні віруси «без­смертні» і можуть необмеже­ний час зберігатися в різних архівах. Навіть цілком «зни­щені» віруси можуть зберег­тися в будь-якому архівному файлі й випадково або нав­мисно «реанімуватися» через багато місяців або навіть років після їхнього першого вияв­лення і знищення. Отже, піс­ля появи певного вірусу не­обхідно вжити спеціальних заходів для запобігання пов­торним зараженням. Тут мож­на діяти в двох напрямках:

знайти першоджерело зара­ження, розробити або устано­вити програми, що ускладню­ють (пильнуючи) чи роблять неможливим вакцинуючи) розмноження вірусу.

Далеко не всі ушкодження файлової системи, несправ­ність вінчестера або обладнан­ня спричинені вірусами. На­приклад, деякі типи вінчес­терів мають низьку надійність і псуються без втручання віру­сів. Є комп'ютери, які можна завантажити тільки після про­грівання, через деякий час. Існують дисководи, що не тільки фрезерують дискети, а й під час запису іноді стира­ють таблицю розміщення файлів, причому відновити її за допомогою утиліт Нортон не вдається. Багато комп'ю­терів і без вірусів регулярно «зависають». Однак є тенденція атрибутувати будь-яке уш­кодження даних у присутності комп'ютерних вірусів.

Ходять чутки, що віруси ушкоджують обладнання. Справді, такі ушкодження мож­ливі. Наприклад, можна ушко­дити ділянку люмінофора («випалити пляму») на монохрома­тичному моніторі, використову­ючи особливості схеми керування. Однак для кольоро­вого монітора це зробити не­можливо.

Кажуть також, існують що якісь підступні віруси, що нібито вводять у резонанс го­лівку вінчестера. Це схоже на міф, але проблема «вірус — засіб захисту» аналогічна до проблеми «зброя нападу — зброя захисту». Тому слід очікувати, що тривалий час віруси становитимуть актуальну проблему, причому вдосконалювання засобів за­хисту буде супроводжуватися вдоско­наленням самих вірусів.

Складність опису різних засобів захисту від комп'ютерних вірусів і часте дублювання цих засобів роб­лять актуальним питання про класи­фікацію комп'ютерних вірусів. Ця класифікація має сприяти однознач­ному опису не тільки відомих вірусів, а й їх нових різновидів за обмеженою кількістю порівняно простих ознак. Пропонуємо класифі­кацію, у якій ім'я вірусу складається з літерного префікса, цифрового ко­реня і, можливо, літерного суфікса. Префікс характеризує середовище розмноження вірусу.

У 1990 p. існувало чотири основ­них типи комп'ютерних вірусів:

1) ті, що розміщуються в бут-секторі і збійних секторах на диску (тип В, бутові віруси);

2) у файлах типу.com (тип С, файлові віруси);

3) у файлах типу.ехе (тип Е, фай­лові віруси);

4) ті, що передаються по мережі (тип N, чи так звані мережеві віруси).

Цифровий корінь характеризує довжину вірусу. Для комп'ютерних вірусів типу С, Е і СЕ (файлових вірусів) він відповідає збільшенню довжини файла під час зараження. Це збільшення для низки файлових вірусів є нестабільним і залежить як від типу файла (.com або.ехе), так і від довжини файла, що заражається (наприклад, після дописування свого тіла в кінець файла, що заражається, деякі віруси вирівнюють початок свого тіла на початок параграфа, тоб­то на зсув, кратний 16). У цьому разі за цифровий корінь беруть мінімаль­ну довжину збільшення. Для вірусів типу В як апроксимацію довжини бе­руть кількість використовуваних сек­торів, помножену на 512 (довжину сектора).

Комп'ютерні віруси також поділяють­ся на резиденті й нерезидентні. Нерезидентні віруси отримують керування після завантаження в пам'ять зараженої програми, а потім шукають файл-жерт­ву, використовуючи PATH чи іншу інформацію, і заражають цей файл. Потім керування повертається зара­женій програмі, і після закінчення її ро­боти пам'ять комп'ютера звільняється від вірусу. На відміну від них, резидентні віруси після завантаження в пам'ять і передачі керування зара­женій програмі перехоплюють низ­ку переривань і залишаються в пам­'яті резидентними. Отримавши ке­рування після переривання, вони виконують певні дії (наприклад, за­ражають кожну програму, що запус­кається, заражають.ехе і.com фай­ли тощо). Для класифікації таких вірусів використовують суфікс R.

Структурно віруси можна пода­ти у вигляді двох частин: голови і хвоста. Головою називається час­тина вірусу, яка першою отримує керування, хвостом — його части­на, розміщена окремо від голови.

Часто вірус складається з однієї голови (більшість файлових вірусів). Такі віруси називаються несегментованими. На відміну від них, сегментовані віруси мають хвіст і якоюсь мірою аналогічні до оверлейних файлів. Прикладом сегментованих вірусів є бутові віруси, хоча можлива й реалізація сегментованих файлових вірусів.

В операційній системі MS-DOS найпоширенішими є файлові нере­зидентні, файлові резидентні та бутові віруси. Нині для цієї ОС існує кілька сотень комп'ютерних вірусів.

Отже, спочатку з'явилися файлові віруси, за ними заванта­жувальні, а потім, з появою вірусів, які самі шифрувалися, вірусологія стала розвиватися ша­леними темпами, як і віруси. Фахівці вже називали їх полі­морфними вірусами (напевне, се­ред читачів знайдеться хоча б один, хто пам'ятає вірус Фантом, через який «захворіли» комп'ю­тери в середині 90-х років).

Але перед тим як перейти до класифікації, давайте з'ясуємо, яку дефініцію вірусу дають кла­сики. Наприклад, всесвітньо відомий американський розроб­ник програмного забезпечення для комп'ютерних мереж, зокре­ма міжнародних, як от Novell, — програміст Пітер Дайсон (Peter Dyson) дав таке означення вірусу:

«Вірус — це програма, призначен­ням якої є порушення роботи комп'ютерної системи без відома користувача цієї системи. Вірус може приєднувати сам себе до іншої програми, таблиці розділів або до завантажуваль­ного сектора диска та активі­зуватися за певних ситуацій або комбінації певних ситуа­цій».

Що таке комбінація пев­них ситуацій, можна проде­монструвати на прикладі по­ведінки вірусу Ієрусалим (цей приклад уже став класичним, майже всі вірусологи наво­дять його, тому не будемо по­рушувати традиції).

Отже, вірус Ієрусалим уперше було зафіксовано у 1988 p. в мережі одного з ізраїльських університетів. Вірус виявляв себе так: на ек­рані монітора з'являлися чорні квадрати, уповільнюва­лася робота комп'ютера, тобто вірус викликав лише роздра­тованість користувачів, але якщо програма, яка була інфікована цим вірусом, за­вантажувалася в оперативну пам'ять комп'ютера саме у п'ятницю 13-го, то вірус зни­щував кожну активну в цей момент програму.

Було зафіксовано також вірус Тайвань (1998 p.), дія яко­го, залежно від поточної дати, могла бути або непомітною, або дуже агресивною. Вірус міг навіть знищити дані у флеш-BIOS, чого було достатньо, щоб змусити користувача замінити материнську плату. А це у гро­шовому еквіваленті те саме, що купити новий комп'ютер.

Отже, зрозуміло, що не можна одразу визначити міру шкідливості вірусу. Це справа фахівців. Але знати типи вірусів, які можуть загрожу­вати комп'ютеру, необхідно кожному користувачу.

Сучасні фахівці, зокрема Євген Касперський, поділя­ють комп'ютерні віруси на такі типи:

• файлові;• бутові;• поліморфні;• макровіруси;• невидимі;• резидентні;• хробаки;• мережеві.

Вірусологи поділяють віруси не тільки на типи, а й на класи за такими властивостями: середови­ще розповсюдження вірусу; опе­раційна система, в якій він може існувати; ступінь агресивних дій та особливості алгоритму роботи вірусу (див. таблицю).

Таблиця: Класифікація комп'ютерних вірусів

Клас вірусу за властивістю	Тип вірусу	Спосіб зараження
За середовищем розповсюдження вірусу	файлові;     бутові;     макровіруси   мережеві;   комбіновані	Файлові віруси будь-яким чином вбудовуються у файли.cow,.exe або створюють файли-клони (компаньйони) чи використовують особливості будови файлової системи (лінковані). Бутові (або завантажувальні) віруси вбудовують себе у завантажувальний сектор диска або змінюють вказівку на активний бут-сектор диска. Макровіруси вбудовуються у файли документів офісних прикладних програм, таких як Word, Excel, Access. Мережеві віруси використовують для свого розповсюдження протоколи мереж та електронної пошти. Комбіновані віруси: а) файлово-бутові віруси, заражають файли та бут-сектори дисків; б) мережеві макровіруси, заражають документи офісних програм і розповсюджують свої копії електронною поштою
За операційною системою, в якій може існувати вірус	файлові;   бутові; макровіруси; мережеві	Файлові віруси заражають певні файли операційної системи, наприклад, можуть бути заражені exe-файли ОС Windows-95, а сусідній комп'ютер у мережі, який працює в ОС Linux, не матиме жодного зараженого exe-файла. Бутові віруси також заражають тільки певні формати даних бут-секторів певної ОС. Макровіруси заражають тільки певні файли певних форматів певної ОС. Мережеві віруси заражають тільки файли певних форматів певної ОС
За ступенем агресивних дій	зовсім безпечні; безпечні; небезпечні; дуже небезпечні	Зовсім безпечні віруси ніяк не впливають на роботу комп'ютера (якщо не враховувати зменшення вільного простору на диску через розмноження вірусів). Безпечні віруси діють так само, як і зовсім безпечні, але можуть виявлятися через будь-які аудіо- або графічні ефекти. Небезпечні віруси можуть призвести до будь-яких значних збоїв у роботі комп'ютерної системи, «зависання» тощо. Дуже небезпечним вірусам характерні значні деструктивні дії, наприклад: знищення частини даних, файлів і навіть програм, ушкодження системних ділянок дисків, виведення з ладу системи BIOS тощо
За особливостями алгоритму роботи вірусу	резиденті; невидимі; поліморфні	Резидентні віруси заражають пам'ять комп'ютера: під час інфікування комп'ютера вірус залишає в оперативній пам'яті резиденту частину, яка перехоплює звернення ОС до об'єктів зараження та вбудовується в них. Отже, нерезиденті віруси не заражають пам'ять. Невидимі, або стелс-віруси перехоплюють запити ОС на читання/запис заражених об'єктів і підставляють у цьому об'єкті замість себе незаражену ділянку об'єкта; маскування (використання стелс-алгоритмів) дає змогу вірусам сховатися. Поліморфні віруси (або ті, що самошифруються) постійно змінюються, і дві копії одного й того самого вірусу можуть зовсім не збігатися. Віруси використовують змінність для того, щоб їх було складніше виявити

Дата добавления: 2015-05-26