Методы и средства борьбы с вирусами

Тема. Компьютерные вирусы

1. Классификация компьютерных вирусов

1.1. Файловые вирусы

1.2. Загрузочные вирусы

2. Методы и средства борьбы с вирусами

3. Профилактика заражения вирусами

«Компьютерные вирусы» - это небольшие исполняемые или интерпретируемые программы, обладающие свойством распространения и самовоспроизведения в компьютерных системах. Вирусам свойственно изменение и уничтожение ПО или данных, хранящихся в вычислительных системах. Помимо этого, в процессе распространения вирусы могут себя модифицировать.

На сегодняшний день в мире насчитывается свыше 40 тысяч зарегистрированных компьютерных вирусов.

Компьютерные вирусы (КВ) классифицируются по следующим признакам:

Ê по среде обитания;

Ê по способу заражения;

Ê по степени опасности деструктивных (вредительских) воздействий;

Ê по алгоритму функционирования.

По среде обитания вирусы делятся на:

F сетевые;

F файловые;

F загрузочные;

F комбинированные.

Сетевые вирусы распространены как элементы компьютерных сетей.

Файловые – размещаются в исполняемых файлах.

Загрузочные – в загрузочных секторах внешних ЗУ (boot-секторах).

Комбинированные – размещаются в нескольких средах обитания. Такие вирусы размещаются как в загрузочных секторах на магнитных дисках, так и в теле загрузочных файлов.

По способу заражения среды обитания КВ делятся на:

F резидентные;

F нерезидентные.

Резидентные вирусы после их активизации полностью или частично перемещаются из сети, загрузочного сектора, файла в оперативную память ЭВМ.

Нерезидентные вирусы попадают в оперативную память ЭВМ только на время их активности, в течение которого выполняют функцию заражения. Затем вирусы полностью покидают оперативную память, оставаясь в среде обитания. Если вирус помещает в оперативную память программу, которая не заражает среду обитания, считается нерезидентным. Вредительские действия КВ зависят от целей и квалификации их создателей.

По степени опасности для информационных ресурсов пользователя КВ подразделяются на: безвредные; опасные; очень опасные.

Безвредные – не приносящие ущерб ресурсам компьютерных систем. Результатом действия таких вирусов является вывод на экран невинных текстов, картинок, исполнение музыкальных фрагментов и т.п. Но при всей безобидности такие вирусы приводят к расходу ресурсов системы, снижая эффективность ее функционирования. Помимо этого, при модернизации операционной системы или аппаратных средств вирусы, созданные ранее, могут привести к нарушениям штатного алгоритма работы системы.

Опасные – вызывающие существенное снижение эффективности компьютерной системы, но не приводящие к нарушению целостности и конфиденциальности информации. Примерами таких вирусов являются вирусы, занимающие память ЭВМ и каналы связи, но не блокирующие работу сети; вызывающие необходимость повторного выполнения программ, перезагрузки операционной системы или повторной передачи данных по каналам связи.

Очень опасные – вызывающие нарушение конфиденциальности, уничтожение, необратимую модификацию (в том числе и шифрование) информации, блокирование доступа к информации, отказ аппаратных средств. Такие вирусы стирают отдельные файлы, системные области памяти, форматируют диски, шифруют данные и т.д.

Использование в современных ПЭВМ постоянной памяти с возможностью перезаписи привело к появлению вирусов, изменяющих программы BIOS, что приводит к необходимости замены постоянных ЗУ.

В последнее время наблюдается воздействие на психику человека-оператора ЭВМ с помощью подбора видеоизображения с определенной частотой (каждый 25-й кадр). Такие встроенные кадры наносят серьезный ущерб психике человека.

Согласно особенностям алгоритма функционирования вирусы можно разделить на два класса:

1) вирусы, не изменяющие среду обитания (файлы и секторы) при распространении, которые, в свою очередь, делятся на две группы:

· вирусы-«спутники» (companion);

· вирусы-«черви» (worm).

Вирусы-«спутники» не изменяют файлы. Механизм их действия – в создании копий исполняемых файлов.

Например. В MS DOS такие вирусы создают копии для файлов с расширением .EZE. Копия остается с тем же именем, а расширение изменяется на .COM. При запуске с общим именем операционная система загружает первым файл с расширением .COM , являющийся программой-вирусом. Файл-вирус запускает затем файл с расширением .EZE.

Вирусы-«черви» не изменяют файлов и не записываются в загрузочные секторы дисков. Они попадают в рабочую станцию по сети и рассылаются далее по другим абонентам сети. Одни вирусы-«черви» создают рабочие копии вируса на диске, другие – размещаются только в оперативной памяти ЭВМ.

2) вирусы, изменяющие среду обитания при распространении, делятся на:

• студенческие;
• «стелс» - вирусы (вирусы-невидимки);
• полиморфные.

Студенческие – нерезидентные, содержат ошибки, которые легко обнаружить и удалить.

«Стелс» - вирус – резидентный, маскируется под программы ОС, может перемещаться в памяти, активизируется при возникновении прерываний, выполняет определенные действия, в том числе и по маскировке, и только затем управление передаётся на программы ОС, обрабатывающие эти прерывания. Вирусы-невидимки способны противодействовать резидентным антивирусным средствам.

Полиморфные – не имеют постоянных опознавательных групп – сигнатур (двоичная последовательность или последовательность символов), однозначно идентифицирующих зараженность файла или сектора. Сигнатуры используются на этапе распространения вирусов с тем, чтобы избежать многократного заражения одних и тех же объектов, которые могут повысить вероятность обнаружения вируса.

«Стелс» - вирусы и полиморфные создаются квалифицированными специалистами, которые хорошо знают работу аппаратных средств и операционной системы и владеют навыками с машиноориентированными системами программирования.

Удобство работы с известными вирусами предоставляют каталоги вирусов, где содержатся сведения о стандартных свойствах вируса: имя, длина, заражаемые файлы, место внедрения в файл, метод заражения, способ внедрения в ОП для резидентных вирусов, вызываемые эффекты, наличие деструктивной функции и ошибки.

Файловые вирусы – могут внедряться только в исполняемые файлы: командные файлы (состоящие из команд ОС), саморазархивирующиеся файлы, пользовательские и системные программы, документы (таблицы), имеющие макрокоманды. Вирус может внедряться в файлы следующих типов: командные (BAT), загружаемые драйверы (SYS), программы в машинных кодах (EZE, COM), документы Word (DOC) с версии 6.0 и выше, таблицы EXCEL (XLS).

Файловые вирусы могут размещаться в начале, середине и конце заражаемого файла.

Вирус

Файл

Файл

Вирус

Файл

Заголовок вируса

Файл

Вирус

В начало файла вирус внедряется одним из трех способов:

1. начало файла переписывается в конец, а вирус занимает освободившееся место;

2. считывание вируса и зараженного файла в оперативную память, объединение их в один файл и запись его на место файла;

3. вирус записывается в начало файла без сохранения содержимого, что приводит к неработоспособности файла.

В середину файла вирус внедряется следующими способами: файл «раздвигается» и в освободившееся место записывается вирус; а также вирус внедряется в середину файла без сохранения участка файла, на место которого поместился вирус. Например, вирус “Mutant” применяет метод сжатия отдельных участков файла, при этом первоначальная длина файла после внедрения вируса не изменяется.

Внедрение вируса в конец файла наиболее распространено. Как и в случае внедрения вируса в середину файла, первые команды файла заменяются командами перехода на тело вируса.

Особое место среди файловых вирусов занимают макровирусы, представляющие собой вредительские программы, написанные на макроязыках, встроенных в текстовые редакторы, электронные таблицы и др. (редакторы MS Word, MS Office, MS Excel, использующие макроязыки Word Basic, Visual Basic).

Загрузочные вирусы заражают загрузочные (Boot) сектора гибких дисков и Boot – сектора или Master Boot Record (MBR) жестких дисков.

Сектор 1

Сектор 2

…

Boot –сектор или MBR

Заголовок вируса Тело вируса

Загрузочные вирусы являются резидентными. Заражение происходит при загрузке ОС с дисков. Если вирус был активизирован с гибкого диска, то он записывается в загрузочный сектор жесткого диска. Активный вирус, постоянно находясь в ОП, заражает загрузочные сектора всех гибких дисков, а не только системные диски. Если диск был заражен, то этого достаточно для заражения ЭВМ. Чаще всего это происходит при перезагрузке ОС после «зависания» или отказов ЭВМ.

Методы и средства борьбы с вирусами

Антивирусные средства применяются для решения таких задач, как:

F обнаружение вирусов в компьютерных системах;

F блокирование работы программ-вирусов;

F устранение последствий программ-вирусов.

При обнаружении вируса необходимо сразу прекратить работу программы –вируса, чтобы минимизировать ущерб от его воздействия. Следует заметить, что не существует антивирусных средств, которые гарантировали бы обнаружение всех возможных вирусов. Для борьбы с вирусами используются программные, аппаратно-программные средства, которые применяются в определенной последовательности и комбинации. Существуют методы обнаружения и методы удаления вирусов.

К методам обнаружения вирусов относятся:

ü сканирование – самый простой метод обнаружения ошибок. Метод сканирования применим для обнаружения вирусов, сигнатуры которых уже выделены и являются постоянными. Программы-сканеры могут хранить не сигнатуры известных вирусов, а их контрольные суммы. Самой известной программой-вирусом в России является Aidstest Дмитрия Лозинского;

ü обнаружение изменений – осуществляется программами-ревизорами, которые определяют и запоминают характеристики всех областей на дисках, где обычно размещаются вирусы. Программы-ревизоры запоминают в специальных файлах области главной загрузочной записи, загрузочных секторов логических дисков, характеристики всех контролируемых файлов, каталогов и номера дефектных кластеров, контролируют объем установленной оперативной памяти и т.д.

Достоинство – возможность обнаружения вирусов всех типов, а также новых неизвестных вирусов. Программы-ревизоры обнаруживают даже «стелс»-вирусы. Например, программа-ревизор Adinf, разработанная Д.Ю.Мостовым, работает с диском непосредственно по секторам через BIOS.

Недостаток – с помощью программ-ревизоров невозможно определить вирус в файлах, которые поступают в систему уже зараженными. Вирусы обнаруживаются только после размножения в системе. Программы-ревизоры непригодны для обнаружения заражения макровирусами, так как документы и таблицы подвергнуты частым изменениям.

ü эвристический анализ – для обнаружения вирусов используется не так давно. Сущность эвристического анализа – в проверке возможных сред обитания вирусов и выявлении в них команд таких, как команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя ОС. При их обнаружении эвристические анализаторы выдают сообщение о возможном заражении. Такой анализатор имеется в антивирусной программе Doktor Web.

ü использование резидентных сторожей - основан на применении программ, постоянно находящихся в ОП ЭВМ. При выполнении какой-либо программой подозрительных действий (обращение для записи в загрузочные сектора, помещение в ОП резидентных модулей, попытки перехвата прерываний и т.п.) резидентным сторожем пользователю выдается сообщение. Недостаток – выдача большого процента ложных тревог, что отрицательно сказывается на работе пользователя. Примером данного метода является программа Vsafe, входящая в состав MS DOS.

ü вакцинирование программ – это создание специального модуля для контроля ее целостности. При заражении вакцинированного файла, модуль контроля обнаруживает изменение контрольной суммы и выдает об этом сообщение. Данный метод обнаруживает все вирусы, за исключением «стелс»-вирусов.

ü аппаратно-программная защита – самая надежная защита от вирусов. Для защиты ПЭВМ используются специальные контроллеры и их программное обеспечение. Контроллер устанавливается в разъем расширения и имеет доступ к общей шине, что позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускаются. Следовательно, установить защиту можно на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.

Преимущества аппаратно-программных антивирусных средств перед программными следующие:

e работают постоянно;

e обнаруживают все вирусы, независимо от механизма их действия;

e блокируют запрещенные действия, вызванные работой вируса или неквалифицированным пользователем.

Недостаток – зависимость от аппаратных средств ПЭВМ, так как их изменение ведет к необходимости замены контроллера.

Примером аппаратно-программной защиты является комплекс Sheriff.