Лекция 13. Вирусы и антивирусные программы

13.1. Что такое компьютерный вирус

Компьютерный вирус это программа, способная создавать свои копии, внедрять их в различные объекты или ресурсы компьютерных систем, сетей и производить определенные действия без ведома пользователя.

Программа, внутри которой находится вирус, называется зараженной (инфицированной) . Когда инфицированная программа начинает работу, то сначала управление получает вирус. Вирус заражает другие программы, а также выполняет запланированные деструктивные действия. Для маскировки вирус активизируется не всегда, а лишь при выполнении определенных условий (время, действие). После того, как вирус выполнит нужные ему действия, он передает управление той программе, в которой он находится.

Подобно настоящим вирусам, компьютерные вирусы прячутся, размножаются и ищут возможность перейти на другие ЭВМ.

13.2. Какой вред наносят вирусы

Различные вирусы выполняют различные деструктивные действия :

• выводят на экран мешающие текстовые сообщения;
• создают звуковые эффекты;
• создают видео эффекты;
• замедляют работу ЭВМ, постепенно уменьшают объем оперативной памяти;
• увеличивают износ оборудования;
• вызывают отказ отдельных устройств, зависание или перезагрузку компьютера и крах работы всей ЭВМ;
• имитируют повторяющиеся ошибки работы операционной системы;
• уничтожают FAT-таблицу, форматируют жесткий диск, стирают BIOS, стирают или изменяют установки в CMOS, стирают секторы на диске, уничтожают или искажают данные, стирают антивирусные программы;
• осуществляют научный, технический, промышленный и финансовый шпионаж;
• выводят из строя системы защиты информации, дают злоумышленникам тайный доступ к вычислительной машине;
• делают незаконные отчисления с каждой финансовой операции и т.д.;

Главная опасность самовоспроизводящихся кодов заключается в том, что программы-вирусы начинают жить собственной жизнью, практически не зависящей от разработчика программы. Так же, как в цепной реакции в ядерном реакторе, запущенный процесс трудно остановить.

13.3.Что показывает на вирусное заражение

Основные симптомы вирусного заражения ЭВМ следующие:

• замедление работы некоторых программ;
• увеличение размеров файлов;
• появление не существовавших ранее файлов;
• уменьшение объема доступной оперативной памяти;
• появление сбоев в работе операционной системы;
• запись информации на диски в моменты, когда этого не должно происходить.

13.4.Какие бывают вирусы

Рассмотрим основные виды вирусов . Существует большое число различных классификаций вирусов:

• по среде обитания:
  • сетевые вирусы, распространяемые различными компьютерными сетями;
  • файловые — инфицируют исполняемые файлы, имеющие расширение exe и com. К этому же классу относятся и макровирусы , написанные с помощью макрокоманд. Они заражают неисполняемые файлы (в Word, Excel);
  • загрузочные — внедряются в загрузочный сектор диска или в сектор, содержащий программу загрузки системного диска. Некоторые вирусы записываются в свободные секторы диска, помечая их в FAT-таблице как плохие;
  • загрузочно-файловые — интегрируют черты последних двух групп;

• по способу заражения (активизации):
  • резидентный вирус логически можно разделить на две части — инсталятор и резидентный модуль . При запуске инфицированной программы управление получает инсталятор, который выпоняет следующие действия:
    1. размещает резидентный модуль вируса в ОЗУ и выполняет операции, необходимые для того, чтобы последний хранился в ней постоянно;
    2. подменяет некоторые обработчики прерываний, чтобы резидентный модуль мог получать управление при возникновении определенных событий.

  • нерезидентный вирусы не заражают оперативную память и проявляют свою активность лишь однократно при запуске инфицированной программы;

• по степени опасности:
  • не опасные — звуковые и видеоэффекты;
  • опасные — уничтожают часть файлов на диске;
  • очень опасные — самостоятельно форматируют жесткий диск;

• по особенностям алгоритма:
  • компаньон-вирусы не изменяют файлы. Алгоритм их работы состоит в том, что они создают для exe-файлов новые файлы-спутники (дубликаты), имеющие то же имя, но с расширением com. (com-файл обнаруживается первым, а затем вирус запускает exe-файл);
  • паразитические — при распространении своих копий обязательно изменяют содержимое дисковых секторов или файлов (все вирусы кроме компаньонов и червей);
  • черви (репликаторы) — аналогично компаньонам не изменяют файлы и секторы диска. Они проникают в компьютер по сети, вычисляют сетевые адреса других компьютеров и рассылают по этих адресам свои копии. Черви уменьшают пропускную способность сети, замедляют работу серверов;
  • невидимки (стелс) — используют набор средств для маскировки своего присутствия в ЭВМ. Их трудно обнаружить, т.к. они перехватывают обращения ОС к пораженным файлам или секторам и подставляют незараженные участки файлов;
  • полиморфики (призраки, мутанты) — шифруют собственное тело различными способами. Их трудно обнаружить, т.к. их копии практически не содержат полностью совпадающих участков кода;
  • троянская программа — маскируется под полезную или интересную программу, выполняя во время своего функционирования еще и разрушительную работу или собирает на компьютере информацию, не подлежащую разглашению. В отличие от вирусов, троянские программы не обладают свойством самовоспроизводства.

• по целостности:
  • монолитные — программа представляет единый блок;
  • распределенные — программа разделена на части. Эти части содержат инструкции, которые указывают как собрать их воедино, чтобы воссоздать вирус.

13.5. Что такое антивирусная программа

Для борьбы с вирусами разрабатываются антивирусные программы .

Антивирусное средство это программный продукт или устройство, выполняющее одну, либо несколько из следующих функций: 1) защиту данных от разрушения; 2) обнаружение вирусов; 3) нейтрализацию вирусов.

Различают следующие виды:

• программы-детекторы рассчитаны на обнаружение конкретных, заранее известных программе вирусов и основаны на сравнении характерной последовательности байтов (сигнатур), содержащихся в теле вируса, с байтами проверяемых программ. Программы-детекторы снабжаются блоками эвристического анализа. В этом режиме делается попытка обнаружить новые или неизвестные вирусы по характерным для всех вирусов кодовым последовательностям.
• программы-дезинфекторы (фаги) не только находят зараженные файлы, но и лечат их, удаляя из файла тело программы-вируса. В России получили широкое распространение детекторы, одновременно выполняющие функции дезинфекторов: AVP, Aidstest, DoctorWeb.
• программы-ревизоры анализируют текущее состояние файлов и системных областей диска и сравнивают его с информацией, сохраненной ранее в одном из файлов ревизора. При этом проверяется состояние загрузочного сектора, FAT-таблицы, а также длина файлов, их время создания, атрибуты, контрольные суммы. (ADinf)
• программы-фильтры (мониторы) оповещают пользователя обо всех попытках какой-либо программы выполнить подозрительные действия. Фильтры контролируют обновление программных файлов и системной области диска, форматирование диска, резидентное размещение программ в ОЗУ.

13.6. Как защитить компьютер от вирусов

Рассмотрим основные меры по защите ЭВМ от заражения вирусами:

• Необходимо оснастить ЭВМ современными антивирусными программами и постоянно обновлять их версии.
• При работе в сети обязательно должна быть установлена программа-фильтр.
• Перед считыванием с дискет информации, записанной на других ЭВМ, следует всегда проверять эти дискеты на наличие вирусов.
• При переносе файлов в архивированном виде необходимо их проверять сразу же после разархивации.
• При работе на других компьютерах необходимо защищать свои дискеты от записи.
• Делать архивные копии ценной информации на других носителях.
• Не оставлять дискету в дисководе при включении или перезагрузке ЭВМ, это может привести к заражению загрузочными вирусами.
• Получив электронное письмо, к которому приложен исполняемый файл, не следует запускать этот файл без предварительной проверки.
• Необходимо иметь аварийную загрузочную дискету, с которой можно будет загрузиться, если система откажется сделать это обычным образом

Источник

Организация защиты информации в информационных технологиях

8.7. Виды компьютерных вирусов, их классификация

Первые сообщения о возможности создания компьютерных вирусов относятся к 1984 г., когда сотрудник Лехайского университета Фред Коэн сделал сообщение на эту тему на седьмой национальной конференции США по компьютерной безопасности. Он же является автором первой серьезной работы, посвященной математическим исследованиям жизненного цикла и механизмов размножения компьютерных вирусов. В то же время это выступление не нашло отклика у специалистов по безопасности, которые не придали сообщению большого значения. Однако уже в 1985 г. стали появляться сообщения о реальных фактах проявления компьютерных вирусов.

Промышленная ассоциация по компьютерным вирусам только за 1988 г. зафиксировала почти 90 тысяч вирусных атак на персональные компьютеры США. Количество инцидентов, связанных с вирусами, вероятно, превосходит опубликованные цифры, поскольку большинство фирм умалчивает о вирусных атаках. Причины молчания: такая информация может повредить репутации фирмы и привлечь внимание хакеров.

С 1987 г. были зафиксированы факты появления компьютерных вирусов и в нашей стране. Масштабы реальных проявлений «вирусных эпидемий» в настоящее время оцениваются сотнями тысяч случаев «заражения» ПК. Хотя некоторые из вирусных программ оказываются вполне безвредными, многие из них имеют разрушительный характер. Особенно опасны вирусы для персональных компьютеров, входящих в состав локальных вычислительных сетей.

Способ функционирования большинства вирусов — это такое изменение системных файлов ПК, чтобы вирус начинал свою деятельность при каждой загрузке персонального компьютера. Некоторые вирусы инфицируют файлы загрузки системы, другие специализируются на различных программных файлах. Всякий раз, когда пользователь копирует файлы на машинный носитель информации или посылает инфицированные файлы по сети, переданная копия вируса пытается установить себя на новый диск .

Некоторые вирусы разрабатываются так, чтобы они появлялись, когда происходит некоторое событие вызова: например, пятница 13-е, 26 апреля, другая дата, определенное число перезагрузок зараженного или какого-то конкретного приложения, процент заполнения винчестера и т. д.

После того как вирус выполнит нужные ему действия, он передает управление той программе, в которой он находится, и ее работа некоторое время не отличается от работы незараженной.

Все действия вируса могут выполняться достаточно быстро и без выдачи каких-либо сообщений, поэтому пользователь часто не замечает, что его ПК заражен и не успевает принять соответствующих адекватных мер.

Для анализа действия компьютерных вирусов введено понятие жизненного цикла вируса, который включает четыре основных этапа, представленных на рис. 8.8.

Для реализации каждого из этапов цикла жизни вируса в его структуру включают несколько взаимосвязанных элементов:

• часть вируса, ответственная за внедрение и инкубационный период;
• часть вируса, осуществляющая его копирования и добавление к другим файлам (программам);
• часть вируса, в которой реализуется проверка условия активизации его деятельности;
• часть вируса, содержащая алгоритм деструктивных действий;
• часть вируса, реализующая алгоритм саморазрушения.

Следует отметить, что часто названные части вируса хранятся отдельно друг от друга, что затрудняет борьбу с ними.

Объекты воздействия компьютерных вирусов можно условно разделить на две группы:

1. С целью продления своего существования вирусы поражают другие программы, причем не все, а те, которые наиболее часто используются и / или имеют высокий приоритет в информационной технологии (следует отметить, что сами программы, в которых находятся вирусы, с точки зрения реализуемых ими функций, как правило, не портятся).
2. Деструктивными целями вирусы воздействуют чаще всего на данные, реже — на программы.

К способам проявления компьютерных вирусов можно отнести:

• замедление работы персонального компьютера, в том числе его зависание и прекращение работы;
• изменение данных в соответствующих файлах;
• невозможность загрузки операционной системы;
• прекращение работы или неправильная работа ранее успешно функционирующей программы пользователя;
• увеличение количества файлов на диске;
• изменение размеров файлов;
• нарушение работоспособности операционной системы, что требует ее периодической перезагрузки;
• периодическое появление на экране монитора неуместных сообщений;
• появление звуковых эффектов;
• уменьшение объема свободной оперативной памяти;
• заметное возрастание времени доступа к винчестеру;
• изменение даты и времени создания файлов;
• разрушение файловой структуры (исчезновение файлов, искажение каталогов);
• загорание сигнальной лампочки дисковода, когда к нему нет обращения пользователя;
• форматирование диска без команды пользователя и т. д.

Следует отметить, что способы проявления необязательно вызываются компьютерными вирусами. Они могут быть следствием некоторых других причин, поэтому вычислительные средства ИТ следует периодически комплексно диагностировать.

В настоящее время существует огромное количество вирусов, которые можно классифицировать по признакам, представленным на рис. 8.9.

По виду среды обитания вирусы классифицируются на следующие виды:

• загрузочные внедряются в загрузочный сектор диска или в сектор, содержащий программу загрузки системного диска;
• файловые внедряются в основном в исполняемые файлы с расширениями .СОМ и .ЕХЕ;
• системные проникают в системные модули и драйверы периферийных устройств, таблицы размещения файлов и таблицы разделов;
• сетевые вирусы обитают в компьютерных сетях;

файлово-загрузочные (многофункциональные) поражают загрузочные секторы дисков и файлы прикладных программ.

По степени воздействия на ресурсы компьютерных систем и сетей, или по деструктивным возможностям, выделяются:

• безвредные вирусы, не оказывающие разрушительного влияния на работу персонального компьютера, но могут переполнять оперативную память в результате своего размножения;
• неопасные вирусы не разрушают файлы, но уменьшают свободную дисковую память, выводят на экран графические эффекты, создают звуковые эффекты и т. д. ;
• опасные вирусы нередко приводят к различным серьезным нарушениям в работе персонального компьютера и всей информационной технологии;

разрушительные приводят к стиранию информации, полному или частичному нарушению работы прикладных программ и пр.

По способу заражения среды обитания вирусы подразделяются на следующие группы:

резидентные вирусы при заражении компьютера оставляют в оперативной памяти свою резидентную часть, которая затем перехватывает обращение операционной системы к другим объектам заражения, внедряется в них и выполняет свои разрушительные действия вплоть до выключения или перезагрузки компьютера.

нерезидентные вирусы не заражают оперативную память персонального компьютера и являются активными ограниченное время.

Алгоритмическая особенность построения вирусов оказывает влияние на их проявление и функционирование. Выделяют следующие виды таких вирусов:

Источник