Файловые вирусы

«Классическая» разновидность вирусов. Основной принцип их работы состоит в том, что они внедряются внутрь исполняемых файлов (.exe, .dll) таким образом, что при их запуске управление получает не сама программа, а внедренный в нее вирус. После получения управления вирус может подыскать себе другую «жертву» и заразить ее или же выполнить свою деструктивную функцию, после чего управление возвращается к оригинальной программе. Для пользователя работа вируса может оставаться совершенно незамеченой, разве что, возможно, программа начинает запускаться немного медленнее. Если подобный вирус не заметить вовремя он заразит все программы на компьютере и, рано или поздно, уничтожит все данные на компьютере или что-либо другое в зависимости от того, какой деструктивный эффект заложен в вирус.

Когда-то единственным методом распространения подобных вирусов в мире было копирование программ друг у друга. С возникновением Интернета объемы копирования программ, а значит и скорости распространения вирусов возросли многократно.

Наиболее простой метод внедрения вируса в чужие программы состоит в следующем: вирус находит подходящую (еще не зараженную) программу «жертву» и дописывает себя в ее конец. Далее в точку входа в программу (т.е. в то место программы, откуда начинается ее исполнение) ставится инструкция перехода («GOTO» –JMP) на тело вируса. Инструкция перехода сама по себе занимает от двух до пяти байтов. Так как запись инструкции в точку входа программы означает затирание тех байт, которые там уже находятся. По этому эти байты предварительно сохраняются в теле вируса или неиспользуемых областях заголовка программы.

При запуске программы управление получает вирус, делает что-то и передает управление оригинальной программе. Для этого он в памяти возвращает затертые байты на место и выполняет инструкцию перехода в точку входа. Таким образом работа вируса остается совершенно незаметна для запускаемой программы.

Подобный механизм заражения файлов означает увеличение их размера, что может быть замечено пользователем. Поэтому некоторые «продвинутые» вирусы вместо того, чтобы дописывать себя к концу файла пытаются внедрится прямо в его середину. Один из методов осуществить это – это сжать заражаемую программу, а в тело вируса встроить код, умеющий разжимать программу в памяти «на лету». Сжатие позволяет уменьшить размер программы, а разница между размерами оригинальной программы и ее сжатого варианта может быть использована вирусом.

Файловые вирусы часто подразделяются на резидентные и нерезидентные. Отличие между ними состоит в том, что резидентные вирусы (в противоположность своим нерезидентным аналогам) после первого запуска остаются в памяти даже после того, как зараженная программа завершила свою работу. Резидентный вирус, будучи в оперативной памяти, может перехватывать запуск других программ, отслеживать работу пользователя и использовать эту информацию в своих целях. Так часто бывает, что после первого запуска вируса, заражению подвергаются все запускаемые в дальнейшем программы.

«Хороший» вирус всегда старается скрыть свое присутствие в системе, ведь чем позднее будет обнаружено его наличие, тем большее количество раз он успеет размножиться и больше вреда сможет нанести. Поэтому одной из первичных задач вируса является маскировка.

Одним из методов маскировки, как уже было показано ранее, является внедрение в середину запускаемых файлов не увеличивая их размер. Резидентность вируса также может служить мощным механизмом маскировки. Вирус, будучи в оперативной памяти компьютера может перехватывать попытки пользователя (и антивируса) просмотреть содержимое файла и вместо зараженного файла показывать (отдавать содержимое) оригинального файла. Таким образом, просматривая в действительности зараженный файл, мы не сможем заметить никаких изменений. Именно поэтому борьба с вирусом всегда начинается со сканирования памяти и только потом сканирования диска.