Файл: MethodFull.doc

Когда-то единственным методом распространения подобных вирусов в мире было копирование программ друг у друга. С возникновением Интернета объемы копирования программ, а значит и скорости распространения вирусов возросли многократно.

Наиболее простой метод внедрения вируса в чужие программы состоит в следующем: вирус находит подходящую (еще не зараженную) программу «жертву» и дописывает себя в ее конец. Далее в точку входа в программу (т.е. в то место программы, откуда начинается ее исполнение) ставится инструкция перехода («GOTO» –JMP) на тело вируса. Инструкция перехода сама по себе занимает от двух до пяти байтов. Так как запись инструкции в точку входа программы означает затирание тех байт, которые там уже находятся. По этому эти байты предварительно сохраняются в теле вируса или неиспользуемых областях заголовка программы.

При запуске программы управление получает вирус, делает что-то и передает управление оригинальной программе. Для этого он в памяти возвращает затертые байты на место и выполняет инструкцию перехода в точку входа. Таким образом работа вируса остается совершенно незаметна для запускаемой программы.

Подобный механизм заражения файлов означает увеличение их размера, что может быть замечено пользователем. Поэтому некоторые «продвинутые» вирусы вместо того, чтобы дописывать себя к концу файла пытаются внедрится прямо в его середину. Один из методов осуществить это – это сжать заражаемую программу, а в тело вируса встроить код, умеющий разжимать программу в памяти «на лету». Сжатие позволяет уменьшить размер программы, а разница между размерами оригинальной программы и ее сжатого варианта может быть использована вирусом.

Файловые вирусы часто подразделяются на резидентные и нерезидентные. Отличие между ними состоит в том, что резидентные вирусы (в противоположность своим нерезидентным аналогам) после первого запуска остаются в памяти даже после того, как зараженная программа завершила свою работу. Резидентный вирус, будучи в оперативной памяти, может перехватывать запуск других программ, отслеживать работу пользователя и использовать эту информацию в своих целях. Так часто бывает, что после первого запуска вируса, заражению подвергаются все запускаемые в дальнейшем программы.

«Хороший» вирус всегда старается скрыть свое присутствие в системе, ведь чем позднее будет обнаружено его наличие, тем большее количество раз он успеет размножиться и больше вреда сможет нанести. Поэтому одной из первичных задач вируса является маскировка.

Одним из методов маскировки, как уже было показано ранее, является внедрение в середину запускаемых файлов не увеличивая их размер. Резидентность вируса также может служить мощным механизмом маскировки. Вирус, будучи в оперативной памяти компьютера может перехватывать попытки пользователя (и антивируса) просмотреть содержимое файла и вместо зараженного файла показывать (отдавать содержимое) оригинального файла. Таким образом, просматривая в действительности зараженный файл, мы не сможем заметить никаких изменений. Именно поэтому борьба с вирусом всегда начинается со сканирования памяти и только потом сканирования диска.

«Троянские кони» («трояны»)

Одна из наиболее распространенных в наше время разновидностей вирусов. Свое название вирусы данного класса получили из-за схожести с историческим троянским конем. Типичным сценарием распространение троянцев выглядит так: вы получаете письмо по электронной почте от одного из ваших знакомых с текстом вида «я выкачал(а) сегодня из интернета потрясающую программу. Посмотри сам(а), не пожалеешь. Программа прилагается». К письму прикреплен файл с каким-нибудь безобидным названием вроде «ILoveYou.exe». Ничего не подозревая, вы запускаете вложение, после чего все данные исчезают с вашего диска, а вашим друзьям от вашего имени приходит аналогичное письмо. В этом сценарии возможны изменения, но в общем суть остается неизменной. Часто бывает, что троянец представляет собой деструктивную программу в чистом виде без всякого размножения или маскировки.

Как мы видим основная причина, по которой данный класс вирусов является столь популярным, состоит в том, что расчет строится на доверчивость пользователей и их неосведомленность в вопросах компьютерное безопасности, а это, как показывает практика, почти всегда работает безотказно. Другая причина популярности кроится в том, что разработка такого вируса задача несравнимо более простая, нежели разработка какого-либо иного вида вируса. Авторами подобных вирусов часто являются злобные школьники, и обиженные на весь мир студенты.

Отдельные разновидности троянцев заслуживают особого внимания:

• Spywareили т.н. «шпионы» – разнообразные клавиатурные, парольные и другие виды программ-шпионов. После своего запуска остаются резидентными в памяти, отслеживая деятельность пользователя, пароли, которые он использует или какую-либо другую информацию как правило коммерческого характера. Собранная иформация хранится вирусом до того момента, как он получит возможность отослать ее своему автору (или другому заинтересованному лицу). Такая возможность, например, может предоставится, когда пользователь выходит в Интернет. Данные, как правило, передаются небольшими порциями для того, чтобы не привлечь внимание человека возросшей сетевой активностью.

• Adware– вариацияspyware. Троянцы данной категории собирают информацию о деятельности пользователя с целью показа ему направленной рекламы, а также проведения маркетинговых исследований. Устанавливаютсяadwareтроянцы, часто (но далеко не всегда!), пользователями добровольно, как один из вариантов оплаты за ПО или какие-либо услуги.

• Backdoor– программы уделенного управления компьютером без ведома пользователя. Троянцы нанной категории, будучи загруженными дают возможность своему владельцу полностью управлять компьютером-жертвой, создавая как бы «черный вход» в систему, откуда и название.

Сетевые черви

Другая категория вирусов, действие которых сильно напоминает действие троянских коней. Различие между ними столь тонкое, что разные авторы называют одни и те же вирусы то троянцами, то червями.

Основное отличие червей от троянцев состоит в том, что если в троянцах основное внимание уделяется деструктивности, то для червей самым существенным является механизм их распространения. Сетевые черви часто вообще не содержат вредоносного кода, или же их вредоносный эффект значительно слабее, чем у троянцев. А вот методы распространения, бывают зачастую, значительно более изощренные. И хотя большинство червей распространяются посредством электронной почты, в арсенале сетевых червей есть и собственные, оригинальные методы распространения по миру. Так многие сетевые черви используют различные недоработки в системе безопасности служб операционной системы (особенно Windows), а также пользовательских приложений таких какInternetExplorerилиOutlookExpress. Используя их недоработки, черви, зачастую, проникают в компьютер невидимо для пользователя переходя в сети с одного компьютера на другой. Собственно именно такое их поведение и послужило причиной возникновения названия «черви».

Поскольку самораспространение по сети – это основное занятие червей, то порой, в сети случаются настоящие вирусные «эпидемии». В эти периоды сетевой трафик создаваемый червями может составлять весьма значительную часть от всего трафика в Интернете. Трафик может быть столь значительный, что вызывать сбои серверов и сетевого оборудования (что часто и является целью злоумышленников). Так исторически первый вирус, который привлек широкое внимание общественности был так называемый «червь Морриса» по имени создателя. И хотя черви в изобилии водились в глобальных (и локальных) сетях еще до Морриса, «заслуга» последнего состоит лишь в том, что ошибки, допущенные при реализации вируса, привели к чрезмерной активности червя и, как следствие, – колоссально возросшему сетевому трафику, который межсетевые узлы просто не смогли обрабатывать! Случившийся паралич сети вызвал массовую истерию и привлек (впервые) серьезное внимание к проблеме компьютерных вирусов.

Эпидемии сетевых червей длятся, как правило, до тех пор, пока не появится очередная «заплатка», закрывающая ту брешь, через которую пролез червь. Но, как правило, проходит совсем немного времени, прежде чем обнаруживается очередная уязвимость системы и находится очередной «умелец», который желает ею воспользоваться.