Методы заражения программ, используемые вирусами

Где прячутся вирусы?

Итак, вирусы могут прятаться, в основном, в исполняемых файлах с расширениями:

- .com,.ехе - обычные программные файлы;

- .bat - командные файлы, содержащие последовательности команд операционной системы;

- .vbs - файлы программы на языке Visual Basic fоr Application;

- .scr - файлы программ хранителей экрана;

- .sys - файлы драйверов;

- .dll,.lib,.obj - файлы библиотек.

А также в файлах документов с расширениями:

- .doc - документ MS Word;

- .xls - документ MS Excel;

- .mdb - документ MS Access;

- .ppt - документ MS Power Point;

- .dot - шаблон приложений пакета MS Office.

Следует отметить, что иногда файлы программ с целью маскировки содержащихся в них вирусов снабжаются как бы двойным расширением типа .jpeg.vbs.

На самом деле любой файл может иметь только одно расширение. Отделенное от фактического расширения .vbs большим количеством пробелов и не внушающее опасений «как бы» расширение .jpeg на самом деле (вместе с пробелами) является частью имени. Так прятался знаменитый в свое время вирус «I Love Yоu».

- Метод приписывания. Код вируса приписывается к концу файла заражаемой программы, и тем или иным способом осуществляется переход вычислительного процесса на команды этого фрагмента.

- Метод оттеснения. Код вируса располагается в начале зараженной программы, а тело самой программы приписывается к концу.

- Метод вытеснения. Из начала (или середины) файла «изымается» фрагмент, равный по объему коду вируса, и приписывается к концу файла. Сам вирус записывается в освободившееся место. Разновидность метода вытеснения - когда оригинальное начало файла не сохраняется вообще. Такие программы являются «убитыми насмерть» и не могут быть восстановлены никаким антивирусом.

- Прочие методы. Сохранение вытесненного фрагмента программы в «кластерном хвосте» файла и пр.

Примеры заражения:

Случай СОМ- программы. Тело вируса приписывается к концу файла, где-то внутри его сохраняются несколько (обычно, три) байтов оригинального начала программы, на их место записываются команды перехода на начало вируса. Когда вирус заканчивает выполнение предусмотренных им действий, он восстанавливает оригинальные байты начала программы и передает туда управление.

Случай ЕХЕ- программы. Тело вируса приписывается к концу файла, в заголовке его модифицируются значения полей, определяющих местоположение точки входа и размер программы (иногда еще - местоположения стека). В результате управление получает вирусный код. По окончании работы вирус, используя сохраненные при заражении значения измененных полей, осуществляет переход на оригинальное начало программы.

Дата добавления: 2014-11-20