Дипломная работа: Методы и средства защиты информации
По среде обитания вирусы можно разделить на файловые, загрузочные, файлово-загрузочные и сетевые. Как следует из названия, файловые вирусы распространяются через файлы. В настоящее время наиболее распространен именно этот тип вирусов.
Файловые вирусы можно разделить на резидентные и нерезидентные. Нерезидентный вирусы заражают компьютер при запуске на выполнение «инфицированного» файла с программой или при открытии пораженного вирусом документа. Резидентные вирусы при пуске зараженной программы лишь заносят в оперативную память свою копию, а затем передают управление программе-носителю. После этого резидентная, то есть находящаяся ОЗУ, копия вируса готова заражать другие запускаемые программы.
В последнее время чрезвычайно широкое распространение получили макровирусы, отличие от традиционных файловых вирусов они «живут» не в выполняемых файлах, а документах офисных приложений (таких как Microsoft Word Microsoft Excel) и написаны не на обычном языке программирования, а на встроенном макроязыке.
«Подхватить» такой макровирус проще простого: достаточно, например, открыть зараженный документ Word, и находящийся в нем вирус перепишет себя в главный шаблон NORMAL.DOT. В результате каждый вновь открываемый документ будет инфицирован.
Загрузочные вирусы отличаются от файловых резидентных тем, что переносятся одного компьютера в другой через загрузочный сектор диска и заражают только загрузочные сектора гибких и жестких дисков. Заражение компьютера этим типом вирусов происходит только при загрузке с зараженной дискеты. Однако дискеты заражаются загрузочные вирусом даже при попытке чтения содержимого дискеты на инфицированном компьютере. Характерной чертой загрузочных вирусов являются их маленькие размеры. В некоторых загрузочных вирусах реализована так называемая Stealht-технология, при которой вирус «маскирует» свое существование, делая себя «невидимым». При попытке просмотра загрузочного сектора на инфицированном компьютере такой вирус (например, ANTI-EXE) подставляет вместо зараженного оригинальный сектор. При заражении жесткого диска тело вируса может располагаться как в загрузочном секторе, так и в таблице разделов (Partition ble). Некоторые загрузочные вирусы записывают свое тело в свободные кластеры диска, помечая их в таблице размещения файлов как «испорченные» (Bad cluste).
Файлово-загрузочные вирусы (например, широко известный вирус ONE HALF) распространяются как через загрузочные секторы, так и через файлы. Как правило, в вирусах этого типа используются очень сложные алгоритмы, а также Ghost и Stealht-технологии. Не менее опасными являются полиморфные вирусы. Они не столько маскируют свое присутствие, сколько пытаются затруднить обнаружение зараженных файлов. Это достигается путем шифровки тела вируса с использованием специального сложного алгоритма, в результате работы которого тело вируса практически не содержит повторяющихся последовательностей байт.
Сетевые вирусы, строго говоря, нельзя назвать вирусами, так как, распространяясь по сети, они не заражают выполняемые программы. Для обозначения кода такого типа часто используется термин «черви» (WORM). Понятие «компьютерный червь» стало употребляться после обнаружения в некоторых компьютерных сетях «инородных» фрагментов кода, которые размножались по всей сети, иногда даже переходя в смежную сеть. Наносимый ими ущерб был, едва ощутим, и заключался в уменьшении пропускной способности сети, замедлении работы некоторых и без того перегруженных серверов и т.д. Такие фрагменты кода, которые размножались, но не заражали файлы, стали называться «компьютерными червями». Безобидные на первый взгляд «черви» иногда наносили ощутимый вред компьютерным сетям. Для их локализации и обезвреживания иногда даже приходилось «останавливать» на некоторое время целые участки сети, что влекло за собой значительные убытки. Иногда сетевые вирусы (такие как ChristmasTree) пишут на языке управления заданиями, скорости распространения такие вирусы занимают почетное первое место, так как за несколько часов могут заразить более 10000 компьютеров. Однако в настоящее время этот не столь распространен, как резидентные и файловые вирусы.
Особое место среди программ, выполняющих нежелательные действия, занимают так называемые «троянские кони» или «закладки». Термин «троянская программа» появился примерно в 1985 году, когда Том Нельф (TomNelf) приступил к распространению списка программ-вандалов(«троянских программ») под названием «Грязная дюжина» (от англ, нация «TheDirtyDozen»). Например, одна из приведенных в списке программ портила РАТ, выводя на экран красивые партийки, другая производила форматирование жесткого диска сразу же после запуска. Программы-закладки не имеют механизма самовоспроизведения, их размножение производит ничего не подозревающий пользователь, копируя программу своим друзьям и коллегам. Программы такого типа не получили широкого распространения.
Стандартные антивирусные средства, как правило, не позволяют бороться с закладками, поскольку последние не обладают характерными свойствами вирусов; для их обнаружения и обезвреживания существуют специальные программы.
Классификация вирусов по особенностям алгоритма вируса
По особенностям алгоритма можно выделить следующие категории вирусов:
1. Компаньон – вирусы (от англ, слова commpanion) – это вирусы, не изменяющие файлы. Алгоритм работы этих вирусов состоит в том, что они создают для EXE-файлов файлы-спутники, имеющие то же самое имя, но с расширением СОМ, например, – для файла ХСОРY.EХЕ создается файл XCOPY.СОМ. Вирус записывается в СОМ-файл и никак не изменяет ЕХЕ-файл. При запуске такого файла ОО8 первым обнаружит и выполнит СОМ-файл, т.е. вирус, который затем запустит и ЕХЕ-файл.
2. Вирусы-черви (от англ, слова worm) – вирусы, которые распространяются в компьютерной сети и, так же как и компаньон – вирусы, не изменяют файлы или сектора на дисках. Они проникают в память компьютера из компьютерной сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии. Такие вирусы иногда создают рабочие файлы на дисках системы, но могут вообще не обращаться к ресурсам компьютера (за исключением оперативной памяти). К счастью, в вычислительных сетях IBM-компьютеров такие вирусы пока не завелись.
3. «Паразитические» – все вирусы, которые при распространении своих копий обязательно изменяют содержимое дисковых секторов или файлов. В эту группу относятся все вирусы, которые не являются «червями» или «компаньон».
4. «Студенческие» – крайне примитивные вирусы, часто нерезидентные и содержащие большое число ошибок.
5. Стелс-вирусы (от англ, названия Stealth) – это вирусы-невидимки, которые являются одними из самых сложных вирусов. В них используется ряд средств для маскировки. Представляют собой весьма совершенные программы, которые перехватывают обращенияDOS к пораженным файлам или секторам дисков и «подставляют» вместо себя незараженные участки информации. Кроме этого, такие вирусы при обращении к файлам используют достаточно оригинальные алгоритмы, позволяющие «обманывать» резидентные антивирусные мониторы. Определить наличие в системе вируса, использующего Stealth-технологию, не имея соответствующего инструментария, практически не можно, поскольку вирус старается маскировать как приращение длины пораженного файла, так и свое тело в нем, «подставляя» вместо себя «здоровую» часть файла.
6. Полиморфик-вирусы (от англ, слова polymorphic) – самошифрующиеся или вирусы-призраки, которые достаточно трудно обнаружить, они не имеют сигнатур, т.е. несодержащие ни одного постоянного участка кода. В этих вирусах используются специальные механизмы, затрудняющие их обнаружение. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика. Обычно такие вирусы содержат код, позволяющий генерировать программу для шифровки и расшифровки собственного тела. Создаваемые генератором шифровщики (и соответствующие расшифровщики) обычно изменяются во времени. Для зашифрованной части кода вируса обязательно должна существовать подпрограмма расшифровки, или дескриптор (от англ, слова descriptor). В полиморфных вирусах расшифровщик не является постоянным – для каждого инфицированного файла он свой. По этой причине зачастую нельзя «распознать» инфицированный файл по характерной для данного вируса строке (сигнатуре). Вследствие этого некоторые антивирусные средства не «ловят» полиморфные вирусы (наглядный пример такого рода – весьма популярная одно время антивирусная программа Aidstest).
7. «Макро-вирусы» – вирусы этого семейства используют возможности макроязыков встроенных в системы обработки данных (текстовые редакторы, электронные таблицы т.д.). В настоящее время наиболее распространены макро-вирусы, заражающие текст вые документы редактора MicrosoftWord.
Классификация вирусов по деструктивным возможностям
По деструктивным возможностям вирусы можно разделить на следующие:
1. неопасные, влияние которых ограничивается уменьшением свободной памяти на диске I графическими, звуковыми и пр. эффектами;
2. опасные вирусы, которые могут привести к серьезным сбоям в работе;
3. очень опасные, которые могут привести к потере программ, уничтожить данные, стеретьнеобходимую для работы компьютера информацию, записанную в системных областях памяти.
Безвредные вирусы, как правило, производят различные визуальные или звуковые эффекты. Диапазон проявлений безвредных вирусов очень широк – от простейшего стирания содержимого экрана до сложных эффектов переворачивания изображения, создания иллюзии «вращения» или «опадания» (например, вирусCascade-1701).
Выполняемые вредными вирусами деструктивные функции тоже чрезвычайно разнообразны. В процессе своего распространения некоторые вирусы повреждают или искажают выполняемые программы, дописывая в начало уничтожаемой программы некий код без сохранения исходной последовательности байт. Некоторые вирусы при определенных условиях выполняют форматирование диска, точнее его нулевой дорожки, тем самым, уничтожая важную информацию о хранящихся на диске файлах. Другие через определенные (как правило, случайные) промежутки времени перезапускают компьютер, приводя к потере не сохраненных данных. В последнее время появилось большое количество вирусов, направленных на борьбу с антивирусными программами. Некоторые из них при просмотре каталогов ищут программы, в именах которых имеются фрагменты, характерные для антивирусных программ (ANTI, AIDS, SCAN), и при обнаружении таковых пытаются нанести им какой-либо вред: стереть с диска, изменить код в теле программы и т.д.
Возможные симптомы вирусного поражения
Основные симптомы вирусного поражения следующие:
1. замедление работы некоторых программ;
2. явный захват управления работой различных программ;