- •Глава 1 Все о нем и немного о.
- •1.1. Феномен компьютерных вирусов
- •1.2. Что такое компьютерный вирус
- •1.2.1. Объяснение для домохозяйки
- •1.2.2. Попытка дать "нормальное" определение
- •Обязательное (необходимое) свойство компьютерного вируса —
- •1.3. Кто и почему пишет вирусы?
- •1.4. История компьютерных вирусов — от древности до наших дней
- •1.4.1. Самое начало. Немного археологии
- •1.4.2. Начало пути
- •1.4.3. Полиморфизм — мутация вирусов
- •1.4.4. Автоматизация производства и конструкторы вирусов
- •1.4.5. За пределы dos
- •1.4.6. Эпидемия макровируса
- •1.4.7. Хронология событий
- •1.5. Перспективы: что будет завтра и послезавтра
- •Глава 2. Классификация компьютерных вирусов
- •2.1. Файловые вирусы
- •2.1.1. Overwriting-вирусы
- •2.1.2. Parasitic-вирусы
- •2.1.3. Companion-вирусы
- •2.1.4. Link-вирусы
- •2.1.5. Файловые черви
- •2.1.7. Алгоритм работы файлового вируса
- •2.1.8. Особые случаи
- •2. 2. Загрузочные вирусы
- •2.3 Макровирусы
- •2.3.1. Word-, Excel-, Office 97-вирусы
- •2.3.2. Алгоритм работы Word-макровирусов
- •2.3.3. Алгоритм работы Excel-макровирусов
- •2.3.4. AmiPro-вирусы
- •2.4. Сетевые вирусы
- •2.5. Прочие вредные программы
- •2.5.1. "Троянские кони" (логические бомбы)
- •2.5.2. Intended-вирусы
- •2.5.3. Конструкторы вирусов
- •2.5.4. Полиморфные генераторы
- •2.6. Резидентные вирусы
- •2.6.2. Загрузочные вирусы
- •2.6.3. Windows-вирусы
- •2.6.4. Макровирусы
- •2.7. "Стелс"-вирусы
- •2.7.1. Загрузочные вирусы
- •2.7.2. Файловые вирусы
- •2.7.3. Макровирусы
- •2.8. Полиморфик-вирусы
- •2.8.1. Полиморфные расшифровщики
- •2.8.2. Уровни полиморфизма
- •2.8.3. Изменение выполняемого кода
- •Глава 3 Методы обнаружения и удаления компьютерных вирусов
- •3.1 Профилактика заражения компьютера
- •3.2. Откуда берутся вирусы
- •3.2.1. Глобальные сети — электронная почта
- •3.2.2. Электронные конференции, файл-серверы ftp и bbs
- •3.2.3. Локальные сети
- •3.2.4. Пиратское программное обеспечение
- •3.2.5. Персональные компьютеры общего пользования
- •3.2.6. Ремонтные службы
- •3.3. Основные правила защиты
- •3.4.2. Типы антивирусов
- •3.4.3. Антивирусные программы, наиболее известные в России
- •Virusafe
- •3.4.4. Методика использования антивирусных программ
- •3.5. Обнаружение неизвестного вируса
- •3.6. Обнаружение загрузочного вируса
- •3.7. Обнаружение файлового вируса
- •3.8. Обнаружение макровируса
- •3.9. Обнаружение резидентного вируса
- •3.9.2. Windows-вирусы
- •3.10. Анализ алгоритма вируса
- •3.11. Восстановление пораженных объектов
- •3.11.1. Восстановление файлов-документов и таблиц
- •3.11.2. Восстановление загрузочных секторов
- •3.11.3. Восстановление файлов
- •3.11.4. Дезактивация оперативной памяти
- •Глава 4. Описание вирусов
- •4.1 Файловые вирусы
Обязательное (необходимое) свойство компьютерного вируса —
возможность создавать свои дубликаты (не всегда совпадающие с оригиналом) и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению.
Следует отметить, что это условие не является достаточным (т. е. окончательным), поскольку, следуя вышеприведенному примеру, операционная система MS-DOS удовлетворяет данному свойству, но вирусом, скорее всего, ее назвать нельзя.
Вот почему точного определения вируса нет до сих пор и вряд ли оно появится в обозримом будущем. Следовательно, нет точно определенного закона, по которому "хорошие" файлы можно отличить от "вирусов". Более того, иногда даже для конкретного файла довольно сложно определить, является он вирусом или нет.
Вот два примера: вирус КОН и программа ALREADY.COM.
Пример 1. Есть вирус (?) утилита (?) с названием КОН. Эта программа шифрует/расшифровывает диски только по запросу пользователя. Выполнена она в виде загрузочной дискеты: boot-сектор содержит bootstrap loader КОН, а где-то в других секторах лежит основной код КОН. При загрузке с дискеты КОН задает пользователю вопрос типа: "А можно, я сам себя установлю на винчестер?" (если он уже на винчестере, то спрашивает то же самое про дискету). При утвердительном ответе КОН переносит себя с диска на диск.
В результате КОН переносит (копирует) сам себя с дискеты на винчестер, а с винчестера на дискеты, но только с разрешения хозяина компьютера.
Затем КОН выводит текст о своих hot-keys ("горячие" клавиши), по которым он шифрует/расшифровывает диски: спрашивает пароль, читает сектора, шифрует их и делает недоступными, если не знать пароля. Есть у него, кстати, ключ деинсталляции, по коему он сам себя с диска убирает (расшифровав, естественно, все, что было зашифровано).
Таким образом, КОН — это некая утилита защиты информации от несанкционированного доступа. Добавлена к ней, правда, одна особенность: сия утилита сама себя может копировать с диска на диск (с разрешения пользователя). Вирус ли это?.. Да или нет? Скорее всего — нет...
И все бы было ничего, и никто бы эту утилиту по имени КОН вирусом не обозвал, но только bootstrap loader у этого КОН практически на 100% совпадает с довольно "популярным" вирусом Havoc (StealthBoot)... и все, никаких сомнений — вирус! И официальное название есть — StealthBoot.KOH.
Если бы, конечно, автором КОН был не безызвестный программист, а, скажем, Symantec, или Sierra, или даже сама Microsoft, то никто бы и не посмел назвать это вирусом...
Пример 2. Есть некая программа ALREADY.COM, которая сама себя копирует в различные подкаталоги диска в зависимости от системной даты. Вирус? Конечно, да — типичный вирус-червь, сам по себе расползающийся по дискам (включая сетевые).
Да?.. Да!
"Вы играли — но не угадали ни одной буквы!" Не вирус это, как оказалось, а компонент от какого-то софтвера. Однако если этот файл выдернуть из этого софтвера, то ведет он себя как типичный вирус.
Таким образом, были приведены два живых примера.
1. Невирус — вирус.
2. Вирус — невирус.
Внимательный читатель, который не прочь поспорить, может возразить:
"Стоп. Название "вирусы" по отношению к программам пришло из биологии именно по признаку саморазмножения. КОН этому условию соответствует, следовательно, это вирус (или комплекс, включающий вирусный компонент)...".
В таком случае DOS является вирусом (или комплексом, включающим вирусный компонент), поскольку в нем есть команды SYS и COPY. А если на диске присутствует файл AUTOEXEC.BAT, приведенный несколькими абзацами выше, то для размножения не потребуется даже вмешательства пользователя. Плюс к этому: если принять за необходимый и достаточной признак вируса возможность саморазмножения, то тогда любая программа, имеющая инсталлятор, является вирусом. Следовательно, аргумент не проходит.
Еще одно возражение: «...что, если под вирусом понимать не просто "саморазмножающийся код", но "саморазмножающийся код, не выполняющий полезных действий или даже приносящий вред, без привлечения/информирования пользователя "?»
Вирус КОН является программой, шифрующей диски по паролю, вводимому пользователем. Все свои действия КОН комментирует на экране и спрашивает разрешения пользователя. Плюс к тому имеет деинсталлятор — расшифровывает диски и удаляет с них свой код. Однако все равно — вирус!
Если в случае с ALREADY.COM привлечь субъективные критерии (полезна/не полезна, входит в комплект/самостоятельна и т. п.), то, возможно, это и не стоит называть вирусом/червяком. Но стоит ли привлекать эти самые субъективные критерии?
А какие могут быть объективные критерии вируса? Саморазмножение, скрытность и деструктивные свойства? Но ведь на каждый объективный критерий можно привести два контрпримера: а) пример вируса, не подходящего под критерий, и б) пример невируса, подходящего под критерий.
Саморазмножение:
а — Intended-вирусы, не умеющие размножаться по причине большого количества ошибок или размножающиеся только при очень ограниченных условиях;
б - MS-DOS и вариации на тему SYS+COPY.
Скрытность:
а — вирусы КОН, VirDem, Macro.Word. Polite и некоторые другие информируют пользователя о своем присутствии и размножении;
б — сколько примерно (с точностью до десятка) драйверов сидит под стандартной Win95? Скрытно сидит, между прочим.
Деструктивные свойства:
а — безобидные вирусы типа Yankee, которые прекрасно живут в DOS, Windows З.х, Win95, NT и никому не мешают;
б — старые версии Norton Disk Doctor на диске с длинными именами файлов.
Запуск NDD в этом случае превращает Disk Doctor в Disk Destroyer.
Посему тема "нормального" определения компьютерного вируса остается открытой. Есть только несколько точных вех: например, файл COMMAND.СОМ вирусом не является, а печально известная программа с текстом "Dis is one half — стопроцентный вирус (OneHalf). Все, что лежит между ними, может как оказаться вирусом, так и нет.
Не горячитесь, Шура, вы еще не отсидели за прошлое дело.
Из Жванецкого