4. Сетевые Вирусы
Возможность инфицирования компьютерными вирусами корпоративных компьютерных сетей становится все более серьезной проблемой. Опасность действия вирусов определяется возможностью частичной или полной потери ценной информации, а также потерей времени и средств, направленных на восстановление нормального функционирования информационных систем.
Обычная корпоративная компьютерная сеть включает в себя сотни рабочих станций, десятки серверов и, как правило, имеет очень сложную структуру. Стоимость обслуживания такой сети растет вместе с ростом числа подключенных рабочих станций. При этом расходы на антивирусную защиту являются не последним пунктом в списке общих расходов. Основной возможностью их снижения является централизация управления работой антивирусной системы,установленной в корпоративной компьютерной сети.
Администратор должен иметь возможность с одного рабочего места вести мониторинг всех точек проникновения вирусов и управлять всеми антивирусными продуктами, перекрывающими эти точки. Компьютерные вирусы проникают в сеть вместе с файлами.
Основные пути, которыми файлы, зараженные вирусами, попадают в корпоративную сеть:
• копирование инфицированных файлов при запуске программ и других файлов с переносимых источников (гибких дисков, оптических дисков, Zip, Jazz, Floptical, и т.д.);
• программное обеспечение, полученное через Web или FTPи сохраненное на локальных рабочих станциях;
• файлы, получаемые удаленными пользователями,которые соединяются с корпоративной сетью по модему;
• файлы, получаемые при соединении удаленного сервера с сетьюдля обмена с файловым сервером, сервером приложений или сервером баз данных;
• электронная почта,содержащая приложенные зараженные файлы.
FTP(англ.FileTransferProtocol—протокол передачи файлов)—стандартный протокол, предназначенный для передачи файлов поTCP-сетям(например, Интернет).FTPчасто используется для загрузки сетевых страниц и других документов с частного устройства разработки на открытыесерверахостинга.
Протокол построен на архитектуре «клиент-сервер» и использует разные сетевые соединения для передачи команд и данных между клиентом и сервером
Всеми́рная паути́на(англ.WorldWideWeb)—распределённая система,предоставляющая доступ ксвязанныммежду собой документам, расположенным на различныхкомпьютерах, подключенных кИнтернету.
Глобальная компьютерная сеть ИНТЕРНЕТ на сегодняшний день также является основным источником вирусов.
Наибольшее число заражений вирусом происходит при обмене письмами в форматах Word/Office. Пользователь зараженного макровирусом редактора, сам того не подозревая, рассылает зараженные письма адресатам, которые в свою очередь отправляют новые зараженные письма и т.д.
К сетевым вирусам относятся вирусы, которые для своего распространения активно используют протоколы и возможности локальных и глобальных сетей.
Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию.
«Полноценные» сетевые вирусы при этом обладают еще и возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску зараженного файла.
Бытует ошибочное мнение, что сетевым является любой вирус, распространяющийся в компьютерной сети. Но в таком случае практически все вирусы были бы сетевыми, даже наиболее примитивные из них: ведь самый обычный нерезидентный вирус при заражении файлов не разбирается, сетевой (удаленный) это диск- или локальный. В результате такой вирус способен заражать файлы в пределах сети, но отнести его к сетевым вирусам нельзя.
Наибольшую известность приобрели сетевые вирусы конца 1980-х годов, их также называют сетевыми червями (worms).К ним относятся вирус Морриса, вирусы «CristmasTree» и «WankWorm&». Для своего распространения они использовали ошибки и недокументированные функции глобальных сетей того времени — вирусы передавали свои копии с сервера на сервер и запускали их на выполнение. В случае с вирусом Морриса эпидемия захватила даже несколько глобальных сетей в США.
После некоторого затишья проблема сетевых вирусов вновь обострилась в начале1997 г. с появлением вирусов «Macro. Word. ShareFun» и «Win. Homer». Вирус «Macro. Word. ShareFun» использует возможности электронной почты MicrosoftMail. Он создает новое письмо, содержащее зараженный файл-документ («ShareFun» является макровирусом), затем выбирает из списка адресов службы MS-Mail (из компьютерной записной книги пользователя) три случайных адреса и рассылает по ним зараженное письмо. Поскольку многие пользователи устанавливают параметры MS-Mail таким образом, что при получении письма автоматически запускается MS Word, то вирус «автоматически» внедряется в компьютер адресата зараженного письма.Этот вирус иллюстрирует первый тип современных сетевых вирусов, которые объединяют возможности встроенного в Word/Excel языка Basic, протоколы и особенности электронной почты и функции автозапуска, необходимые для распространения вируса.
Вирус «Win. Homer».использует для своего распространения протокол FTP(FileTrabsferProtocol) и передает свою копию на удаленный ftp-сервервкаталог Incoming. Поскольку сетевой протокол FTP исключает возможность запуска файла на удаленном сервере, этот вирус можно охарактеризовать как «полусетевой», однако это реальный пример возможностей вирусов по использованию современных сетевых протоколов и поражению глобальных сетей.
6. Структура компьютерного вируса. В самом распространенном случае компьютерный вирус состоит из двух частей:
1) головы, первой получающей управление,
2) хвоста, расположенного отдельно от головы. В свою очередь, хвост вируса может состоять из нескольких частей или вовсе отсутствовать (например некоторые файловые вирусы). Для получения управления вирус записывает свою голову в одно из перечисленных мест: 1.Загрузочные модули (COM-,EXE-файлы); 2.MBR (Master Boot Record — главная загрузочная запись) дискеты или винта; 3.Драйвер; 4.Объектный модуль; 5.BAT-файл; 6.Исходный текст программы на алгоритмическом языке (в расчете на компиляцию( например, тот же C++)); 7.файлы-документы, созданные приложениями обработки данных, которые поддерживают работу на макроязыках и т.д.
Наиболее распространенными типами компьютерных вирусов в MS DOS являются:
- файловые нерезидентные,
- файловые резидентные
- бутовые вирусы.
- восстанавливает начало программы в оперативной памяти;
- находит очередную жертву;
- проверяет зараженность жертвы;
- внедряет тело вируса в программу- жертву;
- передает управление программе-вирусоносителю.
- восстанавливает начало программы в оперативной памяти;
- проверяет зараженность ОЗУ;
- перехватывает требуемые прерывания;
- передает управление зараженной программе.
- загрузчика;
- исполняемой части.
Сетевые вирусы
К сетевым относятся вирусы, которые для своего распространения активно используют протоколы и возможности локальных и глобальных сетей. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. «Полноценные» сетевые вирусы при этом обладают еще и возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску зараженного файла.
Бытует ошибочное мнение, что сетевым является любой вирус, распространяющийся в компьютерной сети. Но в таком случае практически все вирусы были бы сетевыми, даже наиболее примитивные из них: ведь самый обычный нерезидентный вирус при заражении файлов не разбирается — сетевой (удаленный) это диск или локальный. В результате такой вирус способен заражать файлы в пределах сети, но отнести его к сетевым вирусам никак нельзя.
Наибольшую известность приобрели сетевые вирусы конца 1980-х, их также называют сетевыми червями (worms). К ним относятся вирус Морриса, вирусы «Cristmas Tree» и «Wank Worm&». Для своего распространения они использовали ошибки и недокументированные функции глобальных сетей того времени — вирусы передавали свои копии с сервера на сервер и запускали их на выполнение. В случае с вирусов Морриса эпидемия захватила аж несколько глобальных сетей в США.
Сетевые вирусы прошлого распространялись в компьютерной сети и, как правило, так же как и компаньон-вирусы, не изменяли файлы или сектора на дисках. Они проникали в память компьютера из компьютерной сети, вычисляли сетевые адреса других компьютеров и рассылали по этим адресам свои копии. Эти вирусы иногда также создавали рабочие файлы на дисках системы, но могли вообще не обращаться к ресурсам компьютера (за исключением оперативной памяти).
После нескольких эпидемий сетевых вирусов ошибки в сетевых протоколах и программном обеспечении были исправлены, а «задние двери» закрыты. В результате за песледние десять лет не было зафиксировано ни одного случая заражения сетевым вирусом, как, впрочем, не появилось и ни одного нового сетевого вируса.
Вновь проблема сетевых вирусов возникла лишь в начале 1997-го года с появлением вирусов «Macro.Word.ShareFun» и «Win.Homer». Первый из них использует возможности электронной почты Microsoft Mail — он создает новое письмо, содержащее зараженный файл-документ («ShareFun» является макро-вирусом), затем выбирает из списка адресов MS-Mail три случайных адреса и рассылает по ним зараженное письмо. Поскольку многие пользователи устанавливают параметры MS-Mail таким образом, что при получении письма автоматически запускается MS Word, то вирус «автоматически» внедряется в компьютер адресата зараженного письма.
Этот вирус иллюстрирует первый тип современного сетевого вируса, которые объединяют возможности встроенного в Word/Excel языка Basic, протоколы и особенности электронной почты и функции авто-запуска, необходимые для распространения вируса.
Второй вирус («Homer») использует для своего распространения протокол FTP (File Trabsfer Protocol) и передает свою копию на удаленный ftp-сервер в каталог Incoming. Поскольку сетевой протокол FTP исключает возможность запуска файла на удаленнов сервере, этот вирус можно охарактеризовать как «полу-сетевой», однако это реальный пример возможностей вирусов по использованию современных сетевых протоколов и поражению глобальных сетей.
Возможны, конечно же, и другие способы проникновения вирусов в современные сети, однано мне не хотелось бы излагать их здесь, поскольку это подтолкнет вирусописателей на реализацию этих идей.