Тема 3. Компьютерные вирусы и механизмы борьбы с ними.
6. Профилактика заражения вирусами компьютерных систем.
Вредительские программы и, прежде всего, вирусы представляют очень серьезную опасность для информации в КС.
Компьютерные вирусы — это небольшие исполняемые или интерпретируемые программы, обладающие свойством распространения и самовоспроизведения (репликации) в КС. Вирусы могут выполнить изменение или уничтожение программного обеспечения или данных, хранящихся в КС. В процессе распространения вирусы могут себя модифицировать.
1. Классификация компьютерных вирусов.
В настоящее время насчитывается более 40 тыс. только зарегистрированных компьютерных вирусов. Так как подавляющее большинство вредительских программ обладают способностью к саморазмножению, то часто их относят к компьютерным вирусам.
Все компьютерные вирусы могут быть классифицированы по следующим признакам:
— по степени опасности деструктивных (вредительских) воздействий;
— по алгоритму функционирования.
По среде обитания компьютерные вирусы делятся на:
— сетевые (средой обитания являются элементы компьютерных сетей);
— файловые (размещаются в исполняемых файлах);
— загрузочные (находятся в загрузочных секторах (областях) внешних запоминающих устройств (boot-секторах);
— комбинированные (размещаются в нескольких средах обитания). Пример — загрузочно-файловые вирусы.
По способу заражения среды обитания компьютерные вирусы делятся на:
— резидентные (после их активации полностью или частично перемещаются из среды обитания (сеть, загрузочный сектор, файл) в оперативную память ЭВМ). Эти вирусы используют, как правило, привилегированные режимы работы, разрешенные только операционной системе, заражают среду обитания и при выполнении определенных условий реализуют деструктивную функцию;
— нерезидентные (попадают в оперативную память ЭВМ только на время их активности, в течение которого выполняют деструктивную функцию и функцию заражения. Затем вирусы полностью покидают оперативную память, оставаясь в среде обитания. Если вирус помещает в оперативную память программу, которая не заражает среду обитания, то такой вирус считается нерезидентным).
По степени опасности для информационных ресурсов пользователя компьютерные вирусы подразделяются на:
— безвредные вирусы (их авторы не преследуют деструктивных целей, а руководствуются попыткой самоутверждения и, как правило, ограничиваются выводом на экран монитора невинных картинок и текстов, исполнению музыкальных фрагментов и пр. Однако такие вирусы расходуют ресурсы КС, могут содержать ошибки, вызывающие серьезные последствия для информационных ресурсов КС, могут приводить к нарушениям штатного алгоритма работы системы);
— опасные вирусы (вызывают существенное снижение эффективности КС, но не приводящие к нарушению целостности и конфиденциальности информации, хранящейся в запоминающих устройствах. Последствия таких вирусов могут быть ликвидированы без особых материальных и временных ресурсов. Пример – вирусы, занимающие оперативную память и каналы связи, но не блокирующие работу сети; вирусы, вызывающие необходимость повторного выполнения программ, перезагрузки операционной системы или повторной передачи данных по каналам связи и т.п.);
— очень опасные вирусы (вызывающие нарушение конфиденциальности, уничтожение, необратимую модификацию (в том числе и шифрование) информации, а также вирусы, блокирующие доступ к информации, приводящие к отказу аппаратных средств и наносящие ущерб здоровью пользователям. Такие вирусы стирают отдельные файлы, системные области памяти, форматируют диски, получают несанкционированный доступ к информации, шифруют данные и т.п. Известны публикации, по которым вирусы вызывали неисправности аппаратных средств, например, на резонансной частоте движущиеся части электромеханических устройств могут быть разрушены; интенсивное использование отдельных электронных схем (БИС) может вызвать их перегрев и выход из строя; некоторые вирусы изменяют программы BIOS, что приводит к необходимости замены ПЗУ; возможны воздействия на психику человека – 25-й кадр, воспринимаемого на подсознательном уровне: в 1997 г. 700 японцев попали в больницу с признаками эпилепсии после просмотра компьютерного мультфильма по телевидению).
В соответствии с особенностями алгоритма функционирования вирусы могут быть разделены на:
— вирусы, не изменяющие среду обитания (файлы и секторы) при распространении:
* вирусы-«спутники» (companion) – не изменяют файлы, а создают копии исполняемых файлов с расширением .EXE, присваивая им расширение .COM, которые запускаются первыми, но затем запускают и файл с расширением .EXE;
* вирусы-«черви» (worm) – попадают в рабочую станцию из сети, вычисляют адреса рассылки вируса по другим абонентам сети и осуществляют передачу вируса. Вирус не изменяет файлов и не записывается в загрузочные секторы дисков. Некоторые вирусы-«черви» создают рабочие копии вируса на диске, другие размещаются только в оперативной памяти ЭВМ и, делятся в геометрической прогрессии с коэффициентом 2 забивают оперативную память;
— вирусы, изменяющие среду обитания при распространении делятся на:
* студенческие (их создатели имеют низкую квалификацию, как правило, являются нерезидентными, часто содержат ошибки, довольно просто обнаруживаются и удаляются);
* «стелс»-вирусы (вирусы-невидимки) – маскируют свое присутствие в среде обитания путем перехвата обращений операционной среды к пораженным файлам, секторам и переадресуют ОС к незараженным участкам информации. Вирус является резидентным, маскируется под программы ОС, может перемещаться в памяти. Такие вирусы активизируются при возникновении прерываний, выполняют определенные действия, в т.ч. и по маскировке, и толь ко затем управление передается на программы ОС, обрабатывающие эти прерывания. Обладают способностью противодействовать резидентным антивирусным средствам;
* полиморфные – не имеют постоянных опознавательных групп – сигнатур (сигнатуры используются на этапе распространения вирусов для того, чтобы избежать многократного заражения одних и тех же объектов, так как при многократном заражении объекта значительно возрастает вероятность обнаружения вируса). Для устранения демаскирующих признаков полиморфные вирусы используют шифрование тела вируса и модификацию программы шифрования, за счет чего они не имеют совпадений кодов. После передачи управления вирусу, как правило, выполняются определенные функции блока маскировки. Затем вирус осуществляет функцию внедрения в незараженную среду обитания и, если выполняет деструктивную функцию, то делает это либо безусловно, либо при выполнении определенных условий.