8.7. Виды компьютерных вирусов, их классификация

Первые сообщения о возможности создания компьютерных вирусов относятся к 1984 г., когда сотрудник Лехайского университета Фред Коэн сделал сообщение на эту тему на седьмой национальной конферен­ции США по компьютерной безопасности. Он же является автором пер­вой серьезной работы, посвященной математическим исследованиям жизненного цикла и механизмов размножения компьютерных вирусов. В то же время это выступление не нашло отклика у специалистов по без­опасности, которые не придали сообщению большого значения. Однако уже в 1985 г. стали появляться сообщения о реальных фактах проявле­ния компьютерных вирусов.

Промышленная ассоциация по компьютерным вирусам только за 1988 г. зафиксировала почти 90 тысяч вирусных атак на персональные компьютеры США. Количество инцидентов, связанных с вирусами, ве­роятно, превосходит опубликованные цифры, поскольку большинство фирм умалчивает о вирусных атаках. Причины молчания: такая инфор­мация может повредить репутации фирмы и привлечь внимание хаке­ров.

С 1987 г. были зафиксированы факты появления компьютерных ви­русов и в нашей стране. Масштабы реальных проявлений «вирусных эпидемий» в настоящее время оцениваются сотнями тысяч случаев «за­ражения» ПК. Хотя некоторые из вирусных программ оказываются вполне безвредными, многие из них имеют разрушительный характер. Особенно опасны вирусы для персональных компьютеров, входящих в состав локальных вычислительных сетей.

Способ функционирования большинства вирусов — это такое изме­нение системных файлов ПК, чтобы вирус начинал свою деятельность при каждой загрузке персонального компьютера. Некоторые вирусы ин­фицируют файлы загрузки системы, другие специализируются на раз­личных программных файлах. Всякий раз, когда пользователь копирует файлы на машинный носитель информации или посылает инфициро­ванные файлы по сети, переданная копия вируса пытается установить себя на новый диск.

Некоторые вирусы разрабатываются так, чтобы они появлялись, ко­гда происходит некоторое событие вызова: например, пятница 13-е, 26 апреля, другая дата, определенное число перезагрузок зараженного или какого-то конкретного приложения, процент заполнения винчесте­ра и т.д.

После того, как вирус выполнит нужные ему действия, он передает управление той программе, в которой он находится, и ее работа некото­рое время не отличается от работы незараженной.

Все действия вируса могут выполняться достаточно быстро и без вы­дачи каких-либо сообщений, поэтому пользователь часто не замечает, что его ПК заражен и не успевает принять соответствующих адекватных мер.

Для анализа действия компьютерных вирусов введено понятие жиз­ненного цикла вируса, который включает четыре основных этапа, пред­ставленных на рис.8.8.

Для реализации каждого из этапов цикла жизни вируса в его струк­туру включают несколько взаимосвязанных элементов:

• часть вируса, ответственная за внедрение и инкубационный пери­од;

• часть вируса, осуществляющая его копирования и добавление к другим файлам (программам);

• часть вируса, в которой реализуется проверка условия активиза­ции его деятельности;

• часть вируса, содержащая алгоритм деструктивных действий;

• часть вируса, реализующая алгоритм саморазрушения.

Следует отметить, что часто названные части вируса хранятся от­дельно друг от друга, что затрудняет борьбу с ними.

Объекты воздействия компьютерных вирусов можно условно разде­лить на две группы:

1. С целью продления своего существования вирусы поражают дру­гие программы, причем не все, а те, которые наиболее часто использу­ются и/или имеют высокий приоритет в информационной технологии (следует отметить, что сами программы, в которых находятся вирусы, с точки зрения реализуемых ими функций, как правило, не портятся).

2. Деструктивными целями вирусы воздействуют чаще всего на дан­ные, реже — на программы.

К способам проявления компьютерных вирусов можно отнести:

• замедление работы персонального компьютера, в том числе его за­висание и прекращение работы;

• изменение данных в соответствующих файлах;

• невозможность загрузки операционной системы;

• прекращение работы или неправильная работа ранее успешно функционирующей программы пользователя;

• увеличение количества файлов на диске;

• изменение размеров файлов;

• нарушение работоспособности операционной системы, что требу­ет ее периодической перезагрузки;

• периодическое появление на экране монитора неуместных сооб­щений;

• появление звуковых эффектов;

• уменьшение объема свободной оперативной памяти;

• заметное возрастание времени доступа к винчестеру;

• изменение даты и времени создания файлов;

• разрушение файловой структуры (исчезновение файлов, искаже­ние каталогов);

• загорание сигнальной лампочки дисковода, когда к нему нет обра­щения пользователя;

• форматирование диска без команды пользователя и т.д.

Следует отметить, что способы проявления необязательно вызыва­ются компьютерными вирусами. Они могут быть следствием некоторых других причин, поэтому вычислительные средства ИТ следует периоди­чески комплексно диагностировать.

В настоящее время существует огромное количество вирусов, кото­рые можно классифицировать по признакам, представленным на рис.8.9.

1. По виду среды обитания вирусы классифицируются на следующие виды:

• загрузочные внедряются в загрузочный сектор диска или в сектор, содержащий программу загрузки системного диска;

• файловые внедряются в основном в исполняемые файлы с расши­рениями .СОМ и .ЕХЕ;

• системные проникают в системные модули и драйверы перифе­рийных устройств, таблицы размещения файлов и таблицы разделов;

• сетевые вирусы обитают в компьютерных сетях;

• файлово-загрузочные (многофункциональные) поражают загру­зочные секторы дисков и файлы прикладных программ.

2. По степени воздействия на ресурсы компьютерных систем и сетей, или по деструктивным возможностям, выделяются:

• безвредные вирусы, не оказывающие разрушительного влияния на работу персонального компьютера, но могут переполнять оперативную память в результате своего размножения;

• неопасные вирусы не разрушают файлы, но уменьшают свободную дисковую память, выводят на экран графические эффекты, создают зву­ковые эффекты и т.д.;

• опасные вирусы нередко приводят к различным серьезным нару­шениям в работе персонального компьютера и всей информационной технологии;

• разрушительные приводят к стиранию информации, полному или частичному нарушению работы прикладных программ и пр.

3. По способу заражения среды обитания вирусы подразделяются на следующие группы:

• резидентные вирусы при заражении компьютера оставляют в оперативной па­мяти свою резидентную часть, которая затем перехватывает обращение операци­онной системы к другим объектам зара­жения, внедряется в них и выполняет свои разрушительные действия вплоть до выключения или перезагрузки компьютера.

• нерезидентные вирусы не заражают оперативную память персо­нального компьютера и являются активными ограниченное время.

Резидентная программа — это программа, постоянно находящаяся в оперативной памяти персонального ком­пьютера.

4. Алгоритмическая особенность построения вирусов оказывает влияние на их проявление и функционирование. Выделяют следующие виды таких вирусов:

• репликаторные, благодаря своему быстрому воспроизводству при­водят к переполнению основной памяти, при этом уничтожение про­грамм-репликаторов усложняется, если воспроизводимые программы не являются точными копиями оригинала;

• мутирующие со временем видоизменяются и самопроизводятся. При этом, самовоспризводясь, воссоздают копии, которые явно отлича­ются от оригинала;

• стэлс-вирусы (невидимые) перехватывают обращения операцион­ной системы к пораженным файлам и секторам дисков и подставляют вместо себя незараженные объекты. Такие вирусы при обращении к файлам используют достаточно оригинальные алгоритмы, позволяю­щие «обманывать» резидентные антивирусные мониторы;

• макровирусы используют возможности макроязыков, встроенных в офисные программы обработки данных (текстовые редакторы, элек­тронные таблицы и т.д.).