Н

Файлові віруси

айпоширенішим засобом зараження файла вірусом є дописування його тіла в кінець файла. При цьому, з метою одержання управління, вірус замість початку файла, який приховує у своєму тілі, ставить команду переходу на себе. Після того, як вірус відпрацював, він передає управління файлу-жертві. В деяких випадках, у силу тих чи інших причин початок файла, що інфікується, не зберігається і файл буде зіпсований.

Останнім часом поширились віруси, що переписують початок файла-жертви (File Overwriters), не змінюючи його довжину. Зрозуміло, що інфікована таким чином програма замість свого дійсного початку містить вірус і буде безповоротно зіпсована, залишаючись у змозі лише заражати інші програми. Як правило, вказані віруси під час своєї дії інфікують якомога більше файлів і, залежно від різних умов, виконують ті чи інші додаткові руйнівні дії. Прикладами цих вірусів є: ABRAXAS-3, BANANA, BURGER, BLOODLUST, BK MONDAY, COSSIGA,CLINT, DRUID та багато інших.

Зауважимо, що віруси можуть записувати своє тіло також у кінець або середину файла-жертви. При запису в середину файла вірус інколи знаходить „порожні” місця і переміщує туди своє тіло, не змінюючи довжину жертви. У більшості випадків довжина інфікованого файла збільшується на деяку величину, що, як правило, є постійною для вірусу, який заразив його. Ця величина зветься довжиною вірусу і вимірюється у байтах.

Важливою характеристикою вірусів є здатність багатьох з них залишатись у пам’яті комп’ютера після запуску інфікованого файла. Такі віруси називають резедентними. Зрозуміло, що резидентні віруси заражають файли набагато частіше ніж нерезидентні.

Отже, файлові віруси – заражають файли. Вони можуть заражати соm- та ехе-файли, можуть жити в документах Word, переписуючи своє тіло в Normal.dot (їх ще називають макровіруси), створюють для ехе-файлів файли-супутники з розширенням соm (віруси-„супутники”) тощо. У разі, якщо ці файли будуть переписані на інші комп’ютери і запущені, процес розповсюдження піде далі.

Файлові віруси з’явились у середині 80-х років XX сторіччя, їх стрімкому поширенню допомагало неорганізоване комп’ютерне піратство – обмін копіями програм між користувачами за допомогою дискет.

Дія вірусу на файли виявляється по-різному. Одні типи файлів він тільки псує. Це звичайно файли, які містять текстові дані та деякі інші типи даних (таблиці, бази даних та інші). В інші типи файлів він проникає, заражаючи їх. Такі файли називають зараженими. До них, зокрема, відносяться файли операційної системи, файли, які виконуються, та деякі інші.

Спочатку дія вірусу зовнішньо ніяк не проявляється. Він поступово руйнує файли і проникає у програми, розміщені на диску. Коли вірус проник у багато програм, тоді раптом виявляється, що одна програма зовсім не працює, друга працює не правильно, третя видає на екран незрозумілі повідомлення.

Закінчення дії вірусу може бути дуже сумним: зіпсовано програму, над якою ви працювали не один рік; загублено великий обсяг даних, які готували не один місяць тощо.

З

Завантажувальні віруси

Файлово- завантажувальні віруси

авантажувальні віруси заражають Boot-сектор вінчестера або дискет. Ще їх іноді називають бутові. Вірус записує початок свого тіла до Boot-сектора, а решту у вільні (іноді зайняті) кластери, помічаючи їх як погані. Туди ж вірус додає також і справжній запис Boot-сектора, щоб потім передати йому управління. За своєю природою бутові віруси завжди резидентні.

Останнім часом з’явились окремі віруси, які вражають як Boot-сектори, так і файли. Такі віруси звуться ще файлово-завантажувальні. Прикладом таких, вірусів, є Multipartition-віруси, які можуть вражати одночасно ехе, соm, boot-секгор, mothrt boot record, FAT і директорії. Якщо вони до того ж володіють поліморфними властивостями і елементами невидимості, то стає зрозуміло, що такі віруси – одні з найнебезпечніших.

Stealth-віруси

Сучасні віруси застосовують найрізноманітніші засоби з метою утруднення роботи з їх виявлення, розшифрування та знешкодження. Значна частина сучасних вірусів використовує так звану Stelh-технологію (за аналогією із назвою відомого літака). Ці stealth-вірусами („стелз”-віруси, віруси-невидимки) намагаються приховати свою присутність у комп’ютері. Це вдається тому що вони працюють разом з операційною системою та використовують усі її стандартні функції для свого маскування.

Stealth-віруси мають резидентний модуль, який постійно знаходиться в оперативній пам’яті комп’ютера. Цей модуль встановлюється під час запуску зараженої програми або при завантаженні з диска, який заражений Boot-вірусом. Маскування Stealth-вірусів спрацьовує тільки тоді, коли в оперативній пам’яті комп’ютера знаходиться резидентний модуль вірусу. Тому, якщо комп’ютера завантажується з дискети, у вірусу немає ніяких шансів одержати управління, і тому Stealth-механізм не спрацьовує [4].

Така технологія використовується як у файлових так і в завантажувальних вірусах. Так, уже один із перших вірусів BRAIN при спробі перегляду зараженого Boot-сектора виводив не своє тіло, що знаходилось там, а справжній не інфікований запис. Вірус DARK AVENGER „підправляв” дію команди DIR операційної системи так, щоб довжина зараженого ним файла виводилась без урахування довжини вірусу, тобто справлялось враження, що файл не інфікований.

Поліморфний „стелз”-вірус ONEHALF3544 наробив багато галасу у 1994-95 роках. Щодо розміщення вірусу в зараженому файлі, то його тіло довжиною 3544 байти знаходиться в кінці файла. При цьому заражений файл містить 10 „плям”-фрагментів коду розшифровувача, таблицю розміщення „плям” та дані про зміщення початку тіла вірусу від початку файла. Вірус ONEHALF3544 для свого розмноження використовує файли, які записуються на дискети.

З

Віруси-„хробаки”

появою мережних технологій дуже поширеними стали віруси-„хробаки” [5]. Як і для вірусів життєвий цикл хробаків можна розділити на такі стадії: проникнення в систему, активізація, пошук „жертв”, підготовка копій, поширення копій. На етапі проникнення в систему хробаки діляться по типах протоколів, що використовуються на:

• мережні хробаки, що використовують для поширення протоколи мережі Інтернет і локальні мережі, поштові хробаки (наприклад, Win32.Sasser);

• поштові хробаки, що поширюються у форматі повідомлень електронної пошти (наприклад, Win32.Zafi.d);

• P2P-хробаки, що поширюються за допомогою пірінгових (peer-to-peer) файлообмінних мереж (наприклад, Win32.Golember.a);

• IM-хробаки, що використовують для поширення системи миттєвого обміну повідомленнями M, MSM Messenger, AIV та ін. (наприклад, Win32.Kelvir.k).

Т

Троянські програми

роянські програми (трояни) – проводять шкідливі дії замість оголошених легальних функцій або поряд з ними. Вони відрізняються відсутністю механізму створення власних копій і передаються тільки при копіюванні користувачем. Тому їх життєвий цикл має всього три стадії – проникнення в комп’ютер, активізація та виконання закладених функцій.

Завдання проникнення в комп’ютер користувача трояни вирішують одним із двох методів: маскування – троян видає себе за корисний додаток, що користувач самостійно завантажує з мережі Інтернет і запускає. Наприклад Trojan.SymbOS.Hobble.a є архівом для операційної системи Symbian (SIS-архівом). При цьому він маскується під антивірус Symantec і має ім’я symantec.sis: кооперація з вірусами та хробаками – троян подорожує разом із хробаками або, вірусами. Наприклад, відомий у минулому хробак Email-Worm. Win32.Klez.h під час зараження комп’ютера також запускав на ньому вірус Virus.Win32.Elkern.c.

На відміну від вірусів і хробаків, трояни діляться на типи по характеру виконуваних шкідливих дій. Найпоширеніші такі види троянів [9]:

• клавіатурні шпигуни – постійно перебувають у пам’яті комп’ютера, фіксують усі натиснення клавіш і записують їх в окремий файл. Наприклад, Ttojan-Spy.Win32.Smoll.b у нескінченному циклі зчитував коди клавіш, що натискають, і зберігав їх у файлі C:\SYS;

• програми-шпигуни (Trojan-SPY) оптимізовані для збору даних, особливо фінансової, переданої користувачем у мережу Інтернет. Наприклад, Ttojan-Spy.Win32.Agent.fa відслідковує відкриті вікна Internet Explorer і зберігає інформацію із сайтів, що відвідують користувачі;

• викрадачі паролів (Trojan-PSW) призначені для одержання паролів , але не використовують спостереження за клавіатурою. Наприклад, Ttojan-PSW.Win32.LdPinch.kw збирає відомості про систему, а також логіни й паролі для різних сервісів і прикладних програм, які слабо захищені;

• утиліти вилученого управління (Backdoor) – забезпечують повний контроль над комп’ютером користувача. Найпопулярніша утиліта вилученого управління – Back Orifice. Наприклад, Backdoor.Win32.Netbus.170 надає повний контроль на комп’ютером користувача, включаючи виконання будь-яких файлових операцій, завантаження і запуск інших програм, одержання знімків екрана тощо;

• люки надають зловмисникові обмежений контроль над комп’ютером користувача, але існує можливість завантаження й запуск будь-яких файлів по команді зловмисника. Останнім часом вackdoor-функціонал став характерною рисою хробаків. Наприклад, E-mail-Worm.Win32.Bagle.at використовує порт комп’ютера для одержання вилучених команд або завантаження троянів;

• анонімні smtp-сервера та проксі (Trojan-Proxy) виконують функції поштових серверів або проксі, що використовуються в першому випадку для спам-розсилань, а в другому для замітання слідів хакерами. Наприклад, Ttojan-Proxy.Win32.Mitglieder поширюється з різними версіями хробаків. Троян запускається хробаком, відкриває в комп’ютері порт і відправляє авторову вірусу інформацію про IP-адресу зараженого комп’ютера. Після цього комп’ютер може використовуватися для розсилання спаму;

• утиліти дозвону представляють собою утиліти dial-up доступу до мережі Інтернет через дорогі поштові служби. Такі трояни прописуються в системі як утиліти дозволу за умовчуванням і спричиняють величезні рахунки за користуванням мережею Інтернет. Наприклад, Ttojan. Win32.Dialer.a при запуску здійснює дозвон у мережі Інтернет через платні поштові служби;

• модифікатори настроювань браузера (Trojan-Cliker) змінюють стартову сторінку в браузері, сторінку пошуку або які-небудь настроювання, відкривають додаткові вікна браузера, імітують натискання на банери та ін.;

• інсталятори інших шкідливих програм (Trojan-Dropper) – трояни, що представляють можливість зловмисникові робити сховану установку інших програм;

• завантажники шкідливих програм (Trojan Downloader) – трояни, призначені для завантаження на комп’ютер-жертву нових версій шкідливих програм, або рекламних систем;

• повідомлення про успішну атаку (Trojan-Notifier) – трояни даного типу призначені для повідомлення свого „хазяїна” про заражений комп’ютер;

• „бомби” в архівах (ARCBomb) – трояни, що представляють собою архіви, спеціально оформлені так, щоб викликати позаштатне поповнення архіваторів при спробі розархівувати дані – зависання або істотного уповільнення роботи комп’ютера, заповнення диска кількістю „порожніх” даних;

• логічні бомби частіше не скільки трояни, а троянські складові хробаків і вірусів, які найчастіше знищують дані. Наприклад, Virus.Win9x.CIH.

Окремі категорії троянських програм завдають збитку комп’ютерам і мережам, не порушуючи працездатність зараженого комп’ютера, наприклад, троянські програми, розроблені для масованих ВоS-атак на видалені ресурси мережі.