Общая характеристика и классификация компьютерных вирусов

Под компьютерным вирусом (или просто вирусом) понимается автономно функционирующая программа, обладающая способно­стью к самостоятельному внедрению в тела других программ и по­следующему самовоспроизведению и самораспространению в ин­формационно-вычислительных сетях и отдельных ЭВМ.

Предшественниками вирусов принято считать так называемые троянские программы, тела которых содержат скрытые последо­вательности команд (модули), выполняющие действия, наносящие вред пользователям. Наиболее распространенной разновидностью троянских программ являются широко известные программы мас­сового применения (редакторы, игры, трансляторы и т. д.), в кото­рые встроены так называемые «логические бомбы», срабатываю­щие по наступлении некоторого события. Следует отметить, что троянские программы не являются саморазмножающимися.

Принципиальное отличие вируса от троянской программы со­стоит в том, что вирус после его активизации существует само­стоятельно (автономно) и в процессе своего функционирования за­ражает (инфицирует) программы путем включения (имплантации) в них своего текста. Таким образом, компьютерный вирус можно рассматривать как своеобразный «генератор троянских программ». Программы, зараженные вирусом, называются вирусоносителями.

Заражение программы, как правило, выполняется таким обра­зом, чтобы вирус получил управление раньше самой программы. Для этого он либо встраивается в начало программы, либо имплан­тируется в ее тело так, что первой командой зараженной програм­мы является безусловный переход на компьютерный вирус, текст которого заканчивается аналогичной командой безусловного пере­хода на команду вирусоносителя, бывшую первой до заражения. Получив управление, вирус выбирает следующий файл, заражает его, возможно, выполняет какие-либо другие действия, после чего отдает управление вирусоносителю.

«Первичное» заражение происходит в процессе поступления инфицированных программ из памяти одной машины в память другой, причем в качестве средства перемещения этих программ могут использоваться как носители информации (дискеты, опти­ческие диски, флэш-память и т. п.), так и каналы вычислительных сетей. Вирусы, использующие для размножения сетевые средства, принято называть сетевыми.

Stealth-вирусы пользуются слабой защищенностью некоторых операционных систем и заменяют некоторые их компоненты (драйверы дисков, прерывания) таким образом, что вирус становится невидимым (прозрачным) для других программ.

Полиморфные вирусы содержат алгоритм порождения дешиф­рованных тел вирусов, непохожих друг на друга. При этом в алго­ритмах дешифрования могут встречаться обращения практически ко всем командам процессора Intel и даже использоваться некото­рые специфические особенности его реального режима функцио­нирования.

Макровирусы распространяются под управлением прикладных программ, что делает их независимыми от операционной системы. Подавляющее число макровирусов функционирует под управле­нием текстового процессора Microsoft Word. В то же время извест­ны макровирусы, работающие под управлением таких приложе­ний, как Microsoft Excel, Lotus Ami Pro, Lotus 1-2-3, Lotus Notes, в операционных системах фирм Microsoft и Apple.

Сетевые вирусы, называемые также автономными реплика- тивными программами, или, для краткости, репликаторами, ис­пользуют для размножения средства сетевых операционных сис­тем. Наиболее просто реализуется размножение в тех случаях, когда сетевыми протоколами предусмотрен обмен программами. Однако размножение возможно и в тех случаях, когда указанные протоколы ориентированы только на обмен сообщениями. Класси­ческим примером реализации процесса размножения с использо­ванием только стандартных средств электронной почты является репликатор Морриса. Текст репликатора передается от одной ЭВМ к другой как обычное сообщение, постепенно заполняющее буфер, выделенный в оперативной памяти ЭВМ-адресата. В результате переполнения буфера, инициированного передачей, адрес возвра­та в программу, вызвавшую программу приема сообщения, заме­щается на адрес самого буфера, где к моменту возврата уже нахо­дится текст вируса.

Тем самым вирус получает управление и начинает функциони­ровать на ЭВМ-адресате.

«Лазейки», подобные описанной выше и обусловленные особен­ностями реализации тех или иных функций в программном обеспе­чении, являются объективной предпосылкой для создания и вне­дрения репликаторов злоумышленниками. Эффекты, вызываемые вирусами в процессе реализации ими целевых функций, принято делить на следующие группы:

— искажение информации в файлах либо в таблице размеще­ния файлов (FAT-таблице), которое может привести к разруше­нию файловой системы в целом;

— имитация сбоев аппаратных средств;

— создание звуковых и визуальных эффектов, включая, напри­мер, отображение сообщений, вводящих оператора в заблуждение или затрудняющих его работу;

— инициирование ошибок в программах пользователей или операционной системе.