Характерные черты компьютерных вирусов

Своим названием компьютерные вирусы обязаны определенному сходству с биологическими вирусами по:

- способности к саморазмножению;

- высокой скорости распространения;

- избирательности поражаемых систем (каждый вирус поражает только определенные системы или однородные группы систем);

- способности «заражать» еще незараженные системы;

- трудности борьбы с вирусами и т. д.

В последнее время к этим особенностям, характерным для вирусов компьютерных и биологических, можно добавить еще и постоянно увеличивающуюся быстроту появления модификаций и новых поколений вирусов.

Только если в случае вирусов биологических эту скорость можно объяснить могуществом и изобретательностью природы, то вирусы компьютерные скоростью возникновения новых штаммов обязаны исключительно идеям людей определенного склада ума.

Программа, внутри которой находится вирус, является «зараженной».

Когда такая программа начинает работу, то сначала управление получает вирус. Вирус находит и «заражает» другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения файлов на диске, «засоряет» оперативную память и т.д.). Для маскировки вируса действия по заражению других программ и нанесению вреда могут выполняться не всегда, а, скажем, при выполнении определенных условий.

Например, вирус Anti-MIТ ежегодно 1 декабря разрушает всю информацию на жестком диске, вирус Теа Time мешает вводить информацию с клавиатуры с 15:10 до 15:13, а знаменитый Оnе Half незаметно шифрует данные на жестком диске.

Поскольку вирус - это программа, он может делать то, что может программа. Например, он может выводить на экран сообщение или изображение, воспроизводить звуки или выполнять другие безвредные действия. К сожалению, он также может удалять, модифицировать, уничтожать или воровать файлы (передавая их кому-либо по электронной почте). Шантаж тоже возможен. Представьте себе вирус, который зашифровал все файлы на жестком диске жертвы, после чего вывел следующее сообщение:

ПРИВЕТ ОТ КОМПАНИИ GENERAL ENCRYPTION!

ДЛЯ ПРИОБРЕТЕНИЯ КЛЮЧА ДЕШИФРАЦИИ К ВАШЕМУ ЖЕСТКОМУ ДИСКУ, ПОЖАЛУЙСТА, ВЫШЛИТЕ $100 В МЕЛКИХ НЕМАРКИРОВАННЫХ КУПЮРАХ НА А/Я 2154. ПАНАМА-СИТИ. ПАНАМА. СПАСИБО. МЫ РАДЫ СОТРУДНИЧАТЬ С ВАМИ.

Кроме того, вирус может сделать невозможным использование компьютера во время своей работы. Такая атака называется атакой отказа в обслуживании. Обычно для этого вирус поедает ресурсы компьютера, например процессорное время, или заполняет жесткий диск всяким мусором. Вот, например, программа, состоящая из одной строки, способная поставить на колени любую систему UNIX:

main() {while (1) fork();}

Эта программа создает процессы, пока не переполнится таблица процессов, после чего ни один новый процесс не сможет запуститься. Теперь представьте себе вирус, заразивший в системе этим кодом каждую программу. Для защиты от подобной атаки во многих современных системах UNIX количество дочерних процессов ограничено.

Что еще хуже, вирус может повредить аппаратное обеспечение компьютера. Многие современные компьютеры содержат подсистему ввода-вывода BIOS во флэш-ПЗУ, содержимое которого может программно изменяться (чтобы проще было обновлять BIOS). Вирус может записать в BIOS случайный мусор, после чего компьютер перестанет загружаться. Если флэш-ПЗУ вставлено в кроватку, то для устранения проблемы нужно открыть компьютер и заменить микросхему. Если же флэш-ПЗУ впаяно в материнскую плату, то, возможно, всю материнскую плату придется выбросить и купить новую. Определенно невеселый опыт.

Как правило, вирусы наносят ущерб кому попало, но вирус может также преследовать и строго определенную цель. Например, компания может выпустить вирус, проверяющий, не работает ли он на компьютере конкурирующей фирмы и не отсутствует ли системный администратор в настоящий момент в системе. Если горизонт чист, он может вмешаться в производственный процесс, снижая качество продукции и создавая, таким образом, проблемы для конкурента. В остальных случаях он не будет ничего предпринимать, снижая вероятность своего обнаружения. Другой пример вируса направленного действия - вирус, написанный амбициозным вице-президентом корпорации, который запускает его в локальную сеть собственного предприятия. Вирус проверяет, работает ли он на компьютере президента, и если да, то находит электронную таблицу и меняет в ней две случайные ячейки. Рано или поздно, основываясь на этой электронной таблице, президент примет неверное решение и будет уволен, освобождая кресло - сами понимаете для кого.

Мы достаточно налюбовались картинами разрушений. Рассмотрим теперь процесс работы вируса. Автор вируса создает свое творение, вероятно, на ассемблере, после чего аккуратно вставляет его в программу на собственном компьютере с помощью специального инструмента, называемого «пипеткой» (dropper). Затем инфицированная программа распространяется, возможно, с помощью опубликования ее на BBS или в виде свободно распространяемой программы через Интернет. Эта программа может представлять собой занимательную новую игру, пиратскую версию коммерческого программного продукта или еще что-либо подобное, вызывающее интерес у публики. Программу кто-нибудь скачивает и запускает. Далее может быть несколько вариантов. Во-первых, вирус может заразить несколько файлов на жестком диске в надежде, что жертва решит поделиться этими файлами со своими друзьями. Он также может попытаться заразить загрузочный сектор жесткого диска. Как только загрузочный сектор инфицирован, вирус сможет запускаться в резидентном режиме при каждой последующей загрузке компьютера.

Во многих случаях эта программа может не запускаться, пока не наступит определенная дата или пока вирус гарантированно не распространится на большое число компьютеров. Выбранная дата может даже быть привязана к какому-либо политическому событию (например, к столетию или 500-летию обиды, нанесенной этнической группе автора).

Небольшие размеры помогают вирусам прятаться среди массы полезных программ и документов и облегчают их передачу по сети и на дисках, то есть обеспечивают подходящие условия для их саморазмножения. Собственно саморазмножение вирусов выполняется различными путями.

В частности, это происходит следующим образом. Программа-вирус, попав каким-либо путем в оперативную память компьютера, перехватывает процессор и инициирует собственное выполнение. Во время этого выполнения вирус ищет на дисковых устройствах программы или документы, в которых он может «спрятаться», и при первой возможности переписывает их, копируя сам себя в эти программы или документы. Такие программы или документы, в которые попал вирус, называются инфицированными или зараженными. Во время выполнения зараженных программ или открытия зараженных документов вирус вновь перехватывает процессор, активизируется и заражает другие программы и документы.

Один единственный вирус способен заразить большое количество «здоровых» программ или документов, которые в свою очередь становятся источником «заразы».

Если обнаруживается, что вирус поразил хотя бы одну программу или документ, наверняка зараженными окажутся и другие программы или документы, находящиеся на дисках в той же самой машине, а также в машинах, связанных с нею одной сетью. Поэтому любые диски, на которых записана зараженная вирусом программа или документ, а также компьютеры, в которые попал вирус, также считаются зараженными.

Обычно вирус не только размножается, но и выполняет разрушительные действия. С целью достижения максимальной скрытности некоторые вирусы в первый период своей деятельности только размножаются, внешне не проявляя себя ничем. В такой скрытый период обнаружить наличие вируса в компьютере бывает очень сложно. Через некоторое время (или сразу после внедрения) начинают проявляться различные звуковые или визуальные эффекты, исчезают файлы, программы перестают правильно работать, работа машины существенно замедляется, операционная система зависает или начинает сама собой периодически перезагружаться, на винчестере разрушается файловая система, он вдруг оказывается переформатированным или вообще вышедшим из строя и т. д.

Дата добавления: 2014-11-20