Программы обнаружения и защита от вирусов

Трояны

Черви

Классификация вирусов

Вирусы

Вирусы и антивирусные программы

Основная черта компьютерного вируса - это способность к саморазмножению.

Компьютерным вирусом называется специально написанная программа, способная самопроизвольно присоединяться к другим программам, создавать свои копии и внедрять их в файлы, системные области компьютера и в вычислительные сети с целью нарушения работы программ, порчи файлов и каталогов, создания всевозможных помех в работе на компьютере.

Условно жизненный цикл любого компьютерного вируса можно разделить на пять стадий:

- Проникновение на чужой компьютер

- Активация

- Поиск объектов для заражения

- Подготовка копий

- Внедрение копий

Основные пути проникновения вирусов в компьютер: гибкие дискеты (fdd), CD(DVD)-диски, карты флэш-памяти, а также компьютерные сети.

Классифицировать вирусы можно по следующим признакам:

1. По среде обитания;

2. По способу заражения среды обитания;

3. По степени воздействия;

4. По особенностям алгоритмов.

1) По среде обитания

Файловые вирусы внедряются в выполняемые файлы (*.СОМ, *.ЕХЕ, *.SYS, *.BAT, *.DLL).

Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий системный загрузчик винчестера (Master Boot Record).

Макро-вирусы, которые внедряются в системы, использующие при работе так называемые макросы (например, Word, Excel).

Сетевые вирусы распространяются по различным компьютерным сетям.

Существует большое количество сочетаний - например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков; сетевой макро-вирус, который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте.

2) По способу заражения среды обитания

Резидентный вирус при заражении компьютера оставляет в оперативной памяти свою резидентную часть, которая потом перехватывает обращение операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т. п.) и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера.

Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

3) По степени воздействия

Неопасные вирусы не мешают работе компьютера, но уменьшают объем свободной оперативной памяти и памяти на дисках. Действия таких вирусов проявляются в каких-либо графических или звуковых эффектах.

Опасные вирусы могут привести к серьезным сбоям в работе компьютера.

Очень опасные вирусы могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти и т.п. (пример, вирус CIH (Чернобыль), способный уничтожать данные на жестком диске и в BIOS)

4) По особенностям алгоритмов

Паразитические вирусы изменяют содержимое файлов и секторов диска и могут быть достаточно легко обнаружены и уничтожены.

Вирусы-невидимки («стелс»-вирусы) очень трудно обнаружить и обезвредить, т.к. они перехватывают обращения ОС-мы к пораженным файлам и секторам дисков и подставляют вместо своего тела незараженные участки диска.

«Полиморфик»-вирусы (самошифрующиеся или вирусы-призраки) - достаточно труднообнаруживаемые вирусы, не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

Червь (сетевой червь) - это вредоносная программа, распространяющаяся по сетевым каналам и способная к самостоятельному преодолению систем защиты компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не обязательно совпадающих с оригиналом.

В зависимости от способа проникновения в систему черви делятся на типы:

- Сетевые черви используют для распространения локальные сети и Интернет;

- Почтовые черви - распространяются с помощью почтовых программ;

- IM-черви используют системы мгновенного обмена сообщениями (Instant Messenger - мгновенный обмен сообщениями. К IM-клиентам относятся такие программы как ICQ, MSN Messenger, Skype);

- IRC-черви распространяются по каналам IRC (Internet Relay Chat - ретранслируемый интернет-чат - система обмена сообщениями в режиме реального времени. mIRC - одна из самых популярных программ для IRC-чатов);

- P2P-черви - при помощи пиринговых файлообменных сетей (peer-to-peer - равный с равным - это одноранговые (их иногда называют также пиринговыми) компьютерные сети, то есть такие, где отсутствуют выделенные сервера, а все входящие в нее компьютеры выступают в двух ролях - и клиентом, и сервером. Такие сети в основном используются для организации обмена файлами, обычно музыкой и фильмами).

После проникновения на компьютер, червь должен активироваться (запуститься). По методу активации все черви можно разделить на две группы - на тех, которые требуют активного участия пользователя и тех, кто его не требует. В первом случае это черви, которым необходимо, чтобы владелец компьютера обратил на них внимание и запустил зараженный файл, во втором случае это черви, которые делают это сами, например, используя ошибки в настройке или бреши в системе безопасности операционной системы.

Трояны, в отличие от вирусов и червей, не обязаны уметь размножаться. Это программы, написанные только с одной целью - нанести ущерб целевому компьютеру путем выполнения несанкционированных пользователем действий: кражи, порчи или удаления конфиденциальных данных, нарушения работоспособности компьютера или использования его ресурсов в неблаговидных целях.

Жизненный цикл троянов состоит всего из трех стадий:

1. Проникновение в систему

2. Активация

3. Выполнение вредоносных действий

Проникать в систему трояны могут двумя путями - самостоятельно и в кооперации с вирусом или сетевым червем. В первом случае обычно используется маскировка, когда троян выдает себя за полезное приложение, которое пользователь самостоятельно копирует себе на диск (например, загружает из Интернет) и запускает. При этом программа действительно может быть полезна, однако наряду с основными функциями она может выполнять действия, свойственные трояну.

После проникновения на компьютер, трояну необходима активация и здесь он похож на червя - либо требует активных действий от пользователя или же через уязвимости в программном обеспечении самостоятельно заражает систему.

Поскольку главная цель написания троянов - это производство несанкционированных действий, они классифицируются по типу вредоносной нагрузки:

Клавиатурные шпионы, постоянно находясь в оперативной памяти, записывают все данные, поступающие от клавиатуры с целью последующей их передачи своему автору.
Похитители паролей предназначены для кражи паролей путем поиска на зараженном компьютере специальных файлов, которые их содержат.
Анонимные SMTP-сервера (SMTP (от англ. Simple Mail Transfer Protocol - простой протокол передачи почты). Соответственно, почтовый сервер, который принимает и отправляет почту по этому протоколу, называется SMTP-сервером) и прокси-сервера (прокси-сервер - это сервер-посредник, в чьи задачи входит обрабатывание запросов, поступающих из своей сети, на получение информации, расположенной вне ее) - такие трояны на зараженном компьютере организовывают несанкционированную отправку электронной почты, что часто используется для рассылки спама (несанкционированная массовая рассылка почтовых сообщений).
Утилиты дозвона в скрытом от пользователя режиме инициируют подключение к платным сервисам Интернет.
Модификаторы настроек браузера меняют стартовую страницу в браузере, страницу поиска или еще какие-либо настройки, открывают дополнительные окна, имитируют нажатия на рекламные баннеры (баннер - графическое изображение рекламного характера) и т. п.
Логические бомбы характеризуются способностью при срабатывании заложенных в них условий (в конкретный день, время суток, определенное действие пользователя или команды извне) выполнять какое-либо действие, например, удаление файлов.

Сетево́й протоко́л — набор правил, позволяющий осуществлять соединение и обмен данными между двумя и более включёнными в сеть устройствами.

Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые называются антивирусными.

Различают несколько видов антивирусных программ:

1. Программы – детекторы (сканеры).

2. Программы- доктора или фаги.

3. Программы- ревизоры.

4. Программы- фильтры (программы-мониторы).

5. Программы- вакцины или иммунизатора.

Программы - детекторы осуществляют поиск характерной для конкретного вируса последовательности байтов (сигнатуры вируса) в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Многие детекторы имеют режимы лечения или уничтожения зараженных файлов. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ. (Scan и Aidstest)

Программы-доктора восстанавливают зараженные программы путем удаления из них тела вируса. Обычно эти программы рассчитаны на конкретные типы вирусов и основаны на сравнении последовательности кодов, содержащихся в теле вируса, с кодами проверяемых программ. Программы-доктора необходимо периодически обновлять с целью получения новых версий, обнаруживающих новые виды вирусов. (Norton Antivirus, Doctor Web, Антивирус Касперского (KAV), eset nod32)

Программы-ревизоры – анализируют текущее состояние файлов и системных областей дисков и сравнивают его с информацией, сохраненной ранее в одном из файлов ревизора. При этом проверяется состояние загрузочного сектора, FAT, длину, атрибуты и время создания файлов, контрольные суммы (суммирование по модулю 2 всех байтов файла). Пример такой программы – Adinf.

Программы – фильтры (программы-мониторы) представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

· попытки коррекции файлов с расширением com, exe;

· изменение атрибутов файлов;

· запись в загрузочные сектора диска;

· загрузка резидентной программы и т.д.

При попытке какой-либо программы произвести указанные действия программа-фильтр посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. К преимуществу таких программ относится возможность обнаружения неизвестных вирусов. Использование программ-фильтров позволяет обнаруживать вирусы на ранней стадии заражения компьютера. Недостатками программ являются невозможность отслеживания вирусов, обращающихся непосредственно к BIOS и частая выдача запросов на выполнение операций. Они не «лечат» файлы и диски.

Программы-вакцины или иммунизаторы - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедриться. Эти программы морально устарели.

Резидентная программа – это программа, которая постоянно находится в оперативной памяти.