Файл: Исследование проблем борьбы с вирусами и антивирусные программы.pdf

С появлением и распространением вирусов очень серьезно встал вопрос защиты от них, нейтрализации их вредоносных действий. Зимой 1984 года появились на свет первые антивирусные утилиты – CHK4BOMB и BOMBSQAD. Программы были написаны программистом Анди Хопкинс. Они анализировали текст загрузочного модуля, выявляя в нем все текстовые сообщения с «подозрительными» участками кода. CHK4BOMB получила значительную популярность. Программа фактически использовала только контекстный поиск, находя команды прямой записи на диск и другие подобные «запрещенные» внешнему ПО операции. Программа BOMBSQAD.COM была направлена на перехват операций записи и форматирования, которые выполнялись через BIOS. При выявлении запрещенных операций программа предусматривала и возможность разрешения ее выполнения при желании пользователя.

DPROTECT – первая резидентная программа, написанная Ги Вонгом (Gee Wong) в начале 1985 года. Она перехватывала попытки записи на жесткий диск и дискеты, блокировала все несанкционированные операции (запись, форматирование и т.д.), выполняемые через BIOS. В случае выявления таких операций программа запрашивала рестарт системы.

Начиная с 1990 года очень остро встала проблема распространения вирусов и способов защиты от них. Практически каждый год интернет накрывали вирусные эпидемии, заражавшие все большее количество компьютеров, уничтожая или повреждая данные. В мире нет ни одной защищенной от вирусов операционной системы. Конечно, большинство вирусов пишутся под самую распространенную операционную систему мира – Windows. Но даже такие экзотические операционные системы, как AROS, не остались без внимания. Даже считающиеся одними из самых надежных в вопросах защиты от вирусов, Unix-подобные операционные системы, постоянно подвергаются вирусным атакам. В истории имеются и редкие случаи заражение вирусами официальных сетевых репозиторий Unix-пободных операционных систем.

Сейчас никто не даст ответ о точном количестве существующих вирусов, многие распространяются в узком кругу как «шутки», не нанося никого вреда компьютеру. Антивирусные программы из маленьких утилит выросли до полноценных приложений с постоянно обновляющимися базами данных и целым спектром предоставляемых возможностей. Но проблема защиты от вирусов все также остро стоит перед компьютерным миром. Ведь развивались не только средства борьбы с вирусами, но и создатели вирусов придумывали все более новые способы для обхода защитных программ. В этой борьбе нет победителей и нет проигравших – новые вирусы порождают новые средства борьбы против них, совершенствуя тем самым многие системы. Отсюда можно сделать вывод: вирусы хоть и наносят ущерб, но делают и благое дело, являясь своеобразным катализатором в развитии средств защиты данных [19].

Никому неизвестно общее количество вирусов в разные времена – постоянно кто-то создавал свои вредоносные программы в своих личных целях и многие из них так и не получили широкого распространения. Но в истории компьютерного мира есть и случаи «вирусных эпидемий», когда сотни тысяч и даже миллионов компьютеров вирусы поражали буквально за считанные часы. В последние годы вирусы уже не приводили к эпидемиям, так как компании, производившие антивирусные программы, быстро находили решения для нейтрализации новых вирусов

Таким образом, бурное развитие компьютерной техники, программного обеспечения – все это способствует развитию и распространению вредоносных программ. Только для Windows в 2018 году количество известных вирусов превысило 730 миллионов (рис.1.1).

Программное обеспечение уже содержит миллионы строчек кода, но сложно все написать правильно. Где-то даже мельчайшая опечатка оставляет «потайную дверцу», которую рано или поздно обнаружат создатели вирусов и воспользуются ею. Но в борьбе с вирусами антивирусные компании всегда стараются идти в ногу со временем, а часто – и опережать его на шаг-два. Выявляются основные тенденции, основные ошибки в программном обеспечении, основные уязвимые узлы, которыми пользуются создатели вирусов. Полное «оздоровление» интернета – это утопия, но максимальная безопасность каждого компьютера – в руках пользователей.

Рисунок 1.1 - Распространение вирусов за последние 10 лет

Среди относительно новых угроз особо опасными можно назвать те, что занимаются шпионажем и кражей конфиденциальной или личной информации. Не секрет, что деньги с банковских карт чаще всего и пропадают из-за воздействия таких программных апплетов и неосторожности или невнимательности самих владельцев. Но и сами вирусы могут быть выполнены либо в виде самостоятельного программного апплета, либо работают по принципу внедрения в уже имеющиеся файлы собственных вредоносных кодов, после чего такие объекты становятся «зараженными».

1.2 Общая классификация известных вирусных угроз

Чтобы разобраться в применяемых способах борьбы с компьютерными вирусами, необходимо понять, какие именно типы угроз можно встретить в современном компьютерном мире. Несмотря на то что вирусы могут разниться между собой, некоторые из них можно объединить в группы, используя для этого общие признаки [14].

По поводу стадий залегания вируса, она бывает латентной, инкубационной и активной (наиболее опасная).

1. Латентный период – в данном периоде вирус находится в операционной системе без активных действий. Человек его может и не заметить, но в данном состоянии заметить его способен только антивирус, и то тогда, когда начнет сканировать весь компьютер.
2. Период инкубации – в отличие от предыдущего, довольно опасный период. В этом периоде код вирусного программного обеспечения производит активацию и во множестве дублирует себя, распределяя свои дубли не только по различные части конкретного ПК, но и во всемирную сеть. Одна из неприятных составляющих данного периода состоит в том, что многие вирусы начинают через зараженный ПК активно рассылать спам по разным почтовым сервисам.
3. Активный период (самая опасная стадия). При этом, вирусное программное обеспечение продолжает активно размножаться всеми доступными путями. Активно проявляет свои вредительские замыслы. Человек подобную деятельность сразу замечает, т.к. проявляется его суть – исчезновение программ, выключение различных служб. Происходят нарушения в производительности системы, вплоть до порчи различных элементов ПК.

Поскольку разнообразие компьютерных вирусов слишком велико, то они, как и их биологические прообразы, нуждаются в классификации. Классифицировать вирусы можно по следующим признакам:

1. среда обитания;
2. операционные системы, на которые воздействуют угрозы;
3. алгоритмы функционирования самих вирусов;
4. по способу заражения файлов;
5. степень воздействия на компьютерные системы (деструктивность).

Среда обитания. Под «средой обитания» понимаются системные области компьютера, операционные системы или приложения, в компоненты (файлы) которых внедряется код вируса. В этом подразделе можно выделить четыре основные группы известных угроз:

• файловые;
• загрузочные;
• сетевые;
• макровирусы.

Рисунок 1.2 - Среда обитания компьютерных вирусов

Но это только основное разделение, поскольку многие известные угрозы на современном этапе развития компьютерных технологий явно трансформировались, причем так, что отнести их к какой-то одной группе невозможно. Так, например, нередко можно встретить сетевые макровирусы или файлового-загрузочные угрозы.

Файловые угрозы относятся к самым распространенным и получили свое название по той причине, что внедряются именно в файлы (чаще всего исполняемые) или создают их зараженные копии, подменяя оригиналы, из-за чего установленные приложения перестают работать или работают некорректно.

Файловые вирусы при своем размножении тем или иным способом используют файловую систему какой-либо (или каких-либо) операционной системы. Они:

• различными способами внедряются в исполняемые файлы (наиболее распространенный тип вирусов);
• создают файлы-двойники (компаньон-вирусы);
• создают свои копии в различных каталогах;
• используют особенности организации файловой системы (link-вирусы).

Все, что подключено к Интернету – нуждается в антивирусной защите: 82% обнаруженных вирусов находятся в файлах с расширением PHP, HTML и EXE. Это говорит о том, что выбор хакеров – это Интернет, а не атаки с использованием уязвимостей программного обеспечения. Угрозы имеют полиморфный характер, это означает, что вредоносные программы могут быть эффективно перекодированы удаленно, что делает их трудно обнаруживаемыми. Поэтому высокая вероятность заражения связана, в том числе, и с посещениями сайтов.

Рисунок 1.3 - Принцип действия загрузочных компьютерных вирусов

Загрузочные вирусы записывают себя либо в загрузочный сектор диска (boot-сектор), либо в сектор, содержащий системный загрузчик винчестера (Master Boot Record), либо меняют указатель на активный boot-сектор. Данный тип вирусов был достаточно распространен в 1990-х годов, но практически исчез с переходом на 32-битные операционные системы и отказом от использования дискет как основного способа обмена информацией.

Загрузочные объекты используют несколько иные принципы и в большинстве своем прописывают собственные вредоносные коды либо в загрузочных секторах, либо в главной загрузочной записи жесткого диска (Master Boot Record). Соответственно, при изменении таких записей операционная система может перестать загружаться или станет работать неправильно, поскольку вирус посредством созданной записи стартует вместе с зараженной операционный системой.

Сетевые угрозы, как уже понятно, в основном нацелены на то, чтобы самостоятельно передаваться от одного компьютера к другому, используя для этого лазейки в организации сетевых структур или попадая в систему через электронную почту (чаще всего по невнимательности самого пользователя, открывающего вложения сомнительного типа и содержания без предварительной проверки антивирусным программным обеспечением).

Наконец, макровирусы в основном нацелены на офисные документы и работают на основе специальных скриптов, которые срабатывают в момент открытия файлов в соответствующих редакторах (например, написанные на Visual Basic).

Многие табличные и графические редакторы, системы проектирования, текстовые процессоры имеют свои макро-языки для автоматизации выполнения повторяющихся действий. Эти макро-языки часто имеют сложную структуру и развитый набор команд. Макро-вирусы являются программами на макро-языках, встроенных в такие системы обработки данных. Для своего размножения вирусы этого класса используют возможности макро-языков и при их помощи переносят себя из одного зараженного файла (документа или таблицы) в другие.

Скрипт-вирусы, также как и макро-вирусы, являются подгруппой файловых вирусов. Данные вирусы, написаны на различных скрипт-языках (VBS, JS, BAT, PHP и т.д.). Они либо заражают другие скрипт-программы, либо являются частями многокомпонентных вирусов.

Операционные системы, на которые воздействуют угрозы. Говоря о компьютерных вирусах и борьбе с ними, неверным будет полагать, что современные угрозы избирательно воздействовали и воздействуют исключительно на Windows или устаревшие DOS-системы. Так, большое число угроз уже было выявлено в хранилище Google Play, которые наносили непоправимый вред Android-системам. Также не совсем корректным стоит считать, что все UNIX-подобные операционные системы, к каковым можно отнести и Linux, и построенные по его образу Android-модификации, воздействию вирусных угроз не подвержены, поскольку в них отсутствует системный реестр как таковой, – но ведь снижать производительность устройств, нагружая системные ресурсы, вирусы тоже могут, и это уже речь не идет о всевозможных шпионских программах, следящих за действиями пользователей кейлоггерах, вымогателях или апплетах, крадущих личную информацию.

До некоторых пор системы Apple считались неуязвимыми, но в последнее время проявилось множество публикаций о том, что те же «Айфоны» выводятся из строя совершенно элементарно путем пересылки на устройство сообщения, содержащего некий текст, который и вредоносным кодом назвать трудно – простой набор символов. Но факт остается фактом, при открытии такого месседжа девайс «умирает».

Алгоритмы работы вирусов. Рассматривая компьютерные вирусы и борьбу с ними, отдельно стоит сказать несколько слов о том, какие именно принципы работы используют современные угрозы. Среди общих признаков, по которым производится классификация в этом направлении, обычно выделяют такие:

• резидентность;
• наличие или отсутствие стелс-маскировки;
• самошифрование;
• полиморфизм;
• применение нестандартных приемов.