книги хакеры / журнал хакер / специальные выпуски / Специальный выпуск 35_Optimized

¹ 10 (35)

"Компьютерный вирус - это программа (некоторая совокупность выполняемого кода/инструкций), способная создавать свои копии (не обязательно полностью совпадающие с оригиналом) и внедрять их в различ- ные объекты/ресурсы компьютерных систем, сетей и т.д. без ведома пользователя". Это самое "нормальное" определение, которое мне удалось найти, давай его разберем. Как ты уже понял, вирус - это программа (точно такая же, как, например, твой MS Word), которая может изменять другие файлы, записывая в них свой код и делая их "зараженными". Сейчас почти во всех вирусах заложен алгоритм размножения по Сети (по электронной почте, через WEB и т.п.). Кстати, здесь - www.viruslist.com/viruslistbooks.html?id=6 - есть интересное определение для домохозяйки. Прочитай, и все сразу встанет на свои места.

PART II. А КАКИЕ ОНИ?!

Вирусы принято делить на классы по следующим основным признакам:

среда обитания операционная система алгоритм работы объем причиненного вреда

По среде обитания вирусы можно разделить на: 1. файловые 2. загрузочные 3. макро 4. сетевые

По алгоритму работы: резидентные

1. с использованием стелс-алгоритмов

2. с самошифрованием и полиморфич- ностью

3. с использованием нестандартных приемов

По объему причиненного вреда:

1. безвредные, т.е. никак не влияющие на работу компьютера

2. неопасные, т.е. те, которые просто себя распространяют, при этом, например, выдвигая СD-ROM или мигая лампочками на клавиатуре

3.опасные, которые могут привести к серьезным сбоям в работе компьютера

4.очень опасные, которые могут привести

êпотере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, даже ту, которая находится в системной области данных!

Классификацию вирусов по признаку того, в какой операционной системе они работают, я приводить не стал - ты и сам не маленький.

PART III. ТЕПЕРЬ О КАЖДОМ ПОНЕМНОГУ

ФАЙЛОВЫЕ ВИРУСЫ

Файловые вирусы - это те, которые при своем размножении используют файловую систему определенной операционной системы. Чаще всего файловые вирусы заражают исполняемые файлы; они могут внедряться и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не полу- чают управление и, следовательно, теряют способность к размножению (да, такие бестолковые вирусы иногда тоже встречаются :).

По способу заражения файловые вирусы делятся на несколько групп:

1.Overwriting-вирусы

2.Паразитические

3.Компаньон-вирусы

Первый способ заражения является наиболее простым: вирус записывает свой код вместо кода заражаемого файла, уничтожая его содержимое. Но дальше этого дело не идет, т.к. рано или поздно система начинает глючить или падает. А если у тебя есть антивирус, то Overwriting-вирусы обнаруживаются быстрее остальных.

Паразитические вирусы добавляют свой код в зараженный файл, файл при этом остается полностью или частично работоспособным.

К категории компаньон-вирусов относятся вирусы, не изменяющие заражаемые файлы. Алгоритм их работы состоит в том, что для заражаемого файла создается файл-двойник, причем при запуске зараженного файла управление получает именно этот двойник.

СЕТЕВЫЕ ВИРУСЫ

Сетевыми называются такие вирусы, которые при своем распространении использу-

Исходник одного из вирусов

ют возможности интернета и локальных сетей.

Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервак и заставить его выполниться. Сетевые вирусы нередко называют сетевыми червями. Для своего распространения они используют ошибки и недокументированные функции сетей или ОСей, при этом распространяясь по сервакам и запуская свой код на каждом из них.

Существует категория вирусов, которые используют для своего распространения протокол FTP и передают свою копию на удаленный ftp-сервер в каталог Incoming. Поскольку сетевой протокол FTP исключает возможность запуска файла на удаленном серваке в каталоге Incoming, этот вирус можно охарактеризовать как "полусетевой". Его действие основано лишь на любопытстве пользователя.

МАКРОВИРУСЫ

Это вирусы на макроязыках различных приложений, вроде MS Excel (VB), MS Word (WB) и т.п.

Для своего размножения они используют возможности макроязыков и с их помощью переносят себя из одного зараженного файла (документа или таблицы) в другие.

Для существования вирусов в конкретной системе необходимо наличие встроенного в систему макроязыка с такими возможностями:

- привязка программы на макроязыке к конкретному файлу;

Вот так вот обманывают доверчивых юзверей

INTENDED-ВИРУСЫ

-копирования макропрограмм из одного файла в другой;

-получение управления макропрограммой без вмешательства пользователя (хотя бы прямого, вроде необходимости нажатия кнопки "запусти меня, я вирус" :).

Макроязык позволяет копировать файлы или перемещать макропрограммы в служебные файлы системы и редактируемые файлы, при открытии\редактировании\закрытии зараженного файла.

Чаще всего идет заражение стандартного шаблона, который загружается при открытии нового документа, таким образом, все последующие копии файла тоже являются зараженными.

ЗАГРУЗОЧНЫЕ ВИРУСЫ

Загрузочные вирусы заражают загрузочный (boot) сектор флоппидиска и boot-сектор или Master Boot Record (MBR) винчестера. Принцип действия прост: при включении или загрузке компьютера сначала проходит тест оборудования, а потом, в зависимости от настроек, считывается первый физический сектор (будь то флопик, сидюк или винчестер), и на него передается управление.

При заражении дисков загрузочные вирусы подставляют свой код вместо какой-либо программы, получающей управление при загрузке системы. Вирус заставляет систему при перезапуске считать в память и отдать управление не оригинальному коду загрузчи- ка, а коду вируса.

Заражение флопиков производится единственным известным способом - вирус записывает свой код вместо оригинального кода boot-сектора дискеты. Винчестер заражается тремя возможными способами - вирус записывается либо вместо кода MBR, либо вместо кода bootсектора загрузочного диска (обычно диска C:), либо модифицирует адрес активного boot-сектора в Disk Partition Table, расположенной в MBR винчестера.

В вирусах семейства "Stoned" задействован другой метод. Эти вирусы размещают первоначальный загрузочный сектор в неиспользуемом или редко используемом секторе - в одном из секторов винчестера (если такие есть), расположенных между MBR и первым boot-сектором, а на дискете такой сектор выбирается из последних секторов корневого каталога.

Вирусы семейства "Azusa" содержат в своем теле стандартный загрузчик MBR и при заражении записываются поверх оригинального MBR без его сохранения. A

то и сам Lehigh считается первым в мире резидентным вирусом.

-В это же время один за другим появляются три вируса группы SURIV (про- читай наоборот): первый заражает *.com-файлы, второй - *.exe, третий - оба типа. Причем SURIV-02 был первым в мире EXE-инфектором. Четвертым членом семейства SURIV является знаменитый Jerusalem. Вирус заражал и *.com, и *.exe-файлы, но не трогал command.com, т.к. после Lehigh, люди стали внимательнее относиться к этому файлу. Jerusalem был безобиден большую часть времени, но в пятницу, выпадающую на 13 число, вирус стирал все зараженные файлы. Первые версии Jerusalem содержали ошибку - вирус повторно заражал уже зараженные им файлы, из-за этого они не получили распространения, но следующие вирусы семейства уже были избавлены от этого бага. С этим вирусом вообще связано много интересных баек. Например, почему Jerusalem известен также как Israeli (Израильский), 1813 и IDF? Изначально вирус именовался Israeli, по месту обнаружения, потом антисемитское название сменили на 1813, так как именно столько байт он занимал. Использовалось также другое название

-IDF, означавшее Israeli Defence Forces (Израильские Защитные Войска), в одном из отделений которых был обнаружен вирус. И, в конце концов, вирус назвали красивым именем Jerusalem.

-В этом же году появляются знаменитые Stoned (первый MBR-инфектор) и Vienna. Бургер дизассемблирует Виенну и дает исходник в своей книге "Computer Viruses: A High-Tech Disease".

7

ривает наказания за подобные преступления, поэтому Моррис отделался десятитысячным штрафом и работами по восстановлению систем, пострадавших от его червя. Компьютерное сообщество, наконец, понимает масштабы угрозы, и для предотвращения подобных случаев создается организация CERT (Computer Emergency Response Team), существующая и активно действующая до сих пор (www.cert.org).

-IBM обнаруживает в своих сетях вирус Cascade и в связи с этим начинает заниматься антивирусными исследованиями.

-Также этот год знаменателен тем, что некий индонезийский программист публикует программу, чистящую дискеты от вируса Brain и предохраняющую от этого вируса в дальнейшем. Т.о. эта программа считается одним из первых, если не первым, антивирусом.

1989

- Под давлением клиентов, IBM распространяет антивирус, который до этого использовался исключительно внутри компании.

РАСЦВЕТ

1990

- Знаешь, что такое SPAM? Нет, это не предложения "заработать $$$$" и пр. SPAM - это Stealth Polymorph Armored Multipartite.

Stealth (стелс, невидимость) - способность вируса заражать файлы скрытно, не давая пользователю повода заподозрить неладное;

Polymorph (полиморфизм) - способность вируса шифровать свое тело

1988 - Роберт Моррис пишет своего знаме-

нитого червя. Первый в истории слу- чай, когда компьютерная программа причинила реальный многомиллионный ущерб. Закон еще не предусмат-

Тот самый CERT

так, чтобы никакие две копии вируса не были похожи друг на друга; Armored (защита, бронирование) - способность вируса сопротивляться отладке и дизассемблированию; Multipartite (многосторонность) - способность вируса заражать и программы, и загрузочные сектора дисков. Вот такие веселые техники появились в начале 90-х. Каждая из них по отдельности крайне затрудняет жизнь как простого пользователя, так и антивирусника, представь, какой напастью были вирусы, применявшие сразу несколько этих методик!

- В Болгарии открывается первая в мире VX-BBS. Вообще, Болгария и Россия внесли довольно значительный вклад в дело развития вирмейкерства. Так вот, на болгарской BBS любой желающий мог слить себе десяток новых вирусов и отправить их ку- »