Механизмы вирусной атаки

Все известные вирусы различаются способом размещения в программном обеспечении, методом распространения в вычислительной среде, способом активизации, характером наносимого ущерба [5, 7, 8, 28, 30, 64 и др.].

Компьютерный вирус может находиться в операционной среде, где он сцепляется с программами, расположенными в системной части накопителя на гибком магнитном диске (НГМД) или на жестком магнитном диске (“винчестере”). Его внутренние поля могут располагаться в структуре файлов типа EXE - в области между таблицей адресов и загрузочным модулем программы или в свободной памяти файла за программой, в библиотеках компиляторов - наиболее эффективном варианте размещения вируса, поскольку он при этом может автоматически внедряться в любую программу, составляемую компилятором, в сетевом драйвере (программном обеспечении работы вычислительной сети), в “плохих” или специальных секторах на диске, в постоянном запоминающем устройстве (ПЗУ) в качестве программно-технической закладки, которую обнаружить весьма трудно.

	Компьютерные вирусы

Рис. 2.1. Классификация компьютерных вирусов

Компьютерный вирус может распространяться транзитно или резидентно. В первом случае, находясь в оперативном запоминающем устройстве (ОЗУ) компьютера, вирус дописывает себя в другие программы, хранимые на диске, во втором случае вирус, введенный в память ЭВМ (в часть, где находятся программы операционной системы (ОС)), при обращениях к ОС “заражает” программы (диски), вызываемые на выполнение.

Активизироваться вирус может: с момента внедрения в средства вычислительной техники, по наступлении определенного события (даты, заданного числа обращений к зараженной программе), случайно (по показанию датчика случайных чисел, содержащегося в вирусе).

Среди вирусов есть такие, которые не создают серьезных помех работе средств вычислительной техники, вызывают нарушения, поддающиеся исправлению, и производят необратимые изменения и разрушения. Наибольшую опасность представляют вирусы, имеющие деструктивную функцию. Эти вирусы наносят следующие виды ущерба вычислительным средствам: изменение данных в файлах данных, изменение назначенного магнитного диска, в результате чего данные записываются на другой диск. Например, данные могут быть направлены на квазидиск в ОС и потеряны после выключения ЭВМ; уничтожение специальных файлов, содержащих выполняемые программы и данные; уничтожение информации форматированием диска или отдельных треков на нем; уничтожение каталога диска; уничтожение (выключение) программ, постоянно находящихся в ОС; нарушение работоспособности ОС, при которой она не воспринимает внешних воздействий и требует полной загрузки.

2.4.4. Дальнейшее развитие “вирусной технологии”

Появление компьютерных вирусов дало сильный толчок процессу разработки методов и развития технологии борьбы с ними, и успехи в этой области очевидны и несомненны. Однако по мере разработки антивирусных средств шли интенсивные изыскания и в направлении совершенствования диверсионных программ. В результате была разработана технология “стелт-вируса” или вируса-невидимки по аналогии с термином стелт-бомбардировщик (stealth-bomber).

Идея заключается в том, чтобы устранить основной признак, выдающий наличие вируса в системе (на диске), - размер файла. ЭТо достигается введением в вирус механизма воздействия на атрибуты файла, а именно на атрибут его размера. Внедрившись в файл и увеличив его размеры, вирус переписывает соответствующий атрибут, считав значение последнего до внедрения, на первоначальную величину. Таким образом, при простой проверке файлов наличие вируса-невидимки обнаружить не удается. Для этого требуется сложная процедура суммирования размеров всех находящихся на диске файлов и файловых структур с фактическим свободным пространством и последующее сравнение полученной величины с объемом диска.

В настоящее время появилась новая разновидность диверсионных программ, предназначенная для поражения компьютеров, работающих в сетях. Это автономная, саморазмножающаяся и медленно распространяющаяся сложная программа, которая по аналогии с крылатой ракетой (cruise missile) получила экзотическое название “круизный вирус” (cruise virus).

Первой важнейшей отличительной особенностью данной диверсионной программы является то, что она попадает в компьютеры через сети. С точки зрения концепций создания диверсионных программ такой подход считается самым перспективным, поскольку развитие информационных технологий идет в направлении объединения СВТ в сети. В ближайшем будущем отдельно работающие компьютеры будут редким исключением. Что же касается, например, даже простых задач управления, то для их решения уже на нынешнем этапе необходимо в обязательном порядке создавать распределенные информационно-вычислительные архитектуры.

Во-вторых, “круизный вирус” предназначен для осуществления диверсий не вообще в информационной системе, а только в конкретном, четко выбранном компьютере. При этом его даже не обязательно непосредственно внедрять в сеть, к которой подключен компьютер-цель. Подобные диверсионные программы проектируются таким образом, что они могут существовать незамеченными сколько угодно времени до тех пор, пока не достигнут своей цели. Это означает, что “круизному вирусу” необходимо лишь дать возможность попасть в информационное сообщество, например во время общественного форума, “прикрепленным” к сервисной программе, распространяемой на встрече пользователей какой-либо системы.

Мир компьютерных специалистов отличается чрезвычайно тесными контактами и самым активным обменом информацией и программным обеспечением. Здесь совершенно естественным считается использование служебных средств вычислительной техники для копирования игровых программ или печатания личных писем. Более того, в некоторых странах на фирмах и в учреждениях разрешается работать со служебной информацией дома на личном персональном компьютере. Так, старшим офицерам Главного штаба Вооруженных сил Швейцарии в ряде случаев даже разрешается работать дома с секретной информацией.

Все это, несомненно, повышает вероятность того, что “выпущенный на волю” вирус в конце концов достигнет своей цели, даже если он первоначально и не попадет в выбранное для проникновения учреждение или ведомство.

Дата добавления: 2014-01-20