Компьютерные вирусы
Терминология
Компью́терный ви́рус — разновидность компьютерных программ, отличительной особенностью которых является способность к размножению (саморепликация). В дополнение к этому вирусы могут без ведома пользователя выполнять прочие произвольные действия, в том числе наносящие вред пользователю и/или компьютеру. По этой причине вирусы относят к вредоносным программам.
Неспециалисты ошибочно относят к компьютерным вирусам и другие виды вредоносных программ - программы-шпионы и даже спам. Известны десятки тысяч компьютерных вирусов, которые распространяются через Интернет по всему миру.
Создание и распространение вредоносных программ (в том числе вирусов) преследуется в России согласно Уголовному Кодексу РФ (глава 28, статья 273).
Компьютерный вирус был назван по аналогии с биологическими вирусами за сходный механизм распространения. По всей видимости, впервые слово «вирус» по отношению к программе было употреблено Грегори Бенфордом в фантастическом рассказе «Человек в шрамах», опубликованном в журнале Venture в мае 1970 года. Термин «компьютерный вирус» впоследствии не раз открывался и переоткрывался.
Механизм распространения
Вирусы распространяются, копируя свое тело и обеспечивая его последующее исполнение: внедряя себя в исполняемый код других программ, заменяя собой другие программы, прописываясь в автозапуск и другое. Вирусом или его носителем может быть не только программы, содержащие машинный код, но и любая информация, содержащая автоматически исполняемые команды— например, пакетные файлы и документы Microsoft Word и Excel, содержащие макросы.
Каналы
Дискеты. Самый распространённый канал заражения в 1980-90 годы. Сейчас практически отсутствует из-за появления более распространённых и эффективных каналов и отсутствия флоппи-дисководов на многих современных компьютерах.
Флеш-накопители (флешки). В настоящее время USB-флешки заменяют дискеты и повторяют их судьбу — большое количество вирусов распространяется через съёмные накопители, включая цифровые фотоаппараты, цифровые видеокамеры, цифровые плееры (MP3-плееры), сотовые телефоны. Флешки — основной источник заражения для компьютеров, не подключённых к Интернету.
Электронная почта. Сейчас один из основных каналов распространения вирусов. Обычно вирусы в письмах электронной почты маскируются под безобидные вложения: картинки, документы, музыку, ссылки на сайты. В некоторых письмах могут содержаться действительно только ссылки, то есть в самих письмах может и не быть вредоносного кода, но если открыть такую ссылку, то можно попасть на специально созданный веб-сайт, содержащий вирусный код. Многие почтовые вирусы, попав на компьютер пользователя, затем используют адресную книгу из установленных почтовых клиентов типа Outlook для рассылки самого себя дальше.
Системы обмена мгновенными сообщениями. Также распространена рассылка ссылок на якобы фото, музыку либо программы, в действительности являющиеся вирусами, по ICQ и через другие программы мгновенного обмена сообщениями.
Веб-страницы. Возможно также заражение через страницы Интернета ввиду наличия на страницах всемирной паутины различного «активного» содержимого: скриптов, ActiveX-компонент. В этом случае используются уязвимости программного обеспечения, установленного на компьютере пользователя, либо уязвимости в ПО владельца сайта (что опаснее, так как заражению подвергаются добропорядочные сайты с большим потоком посетителей), а ничего не подозревающие пользователи, зайдя на такой сайт, рискуют заразить свой компьютер.
Классификация
Ныне существует немало разновидностей вирусов, различающихся по основному способу распространения и функциональности. Если изначально вирусы распространялись на дискетах и других носителях, то сейчас доминируют вирусы, распространяющиеся через Интернет. Растёт и функциональность вирусов, которую они перенимают от других видов программ.
В настоящее время не существует единой системы классификации и именования вирусов. Принято разделять вирусы:
по среде обитания; по поражаемым операционным системам и платформам; по способам заражения; по деструктивным возможностям; по особенностям алгоритма работы; по языку, на котором написан вирус.
Среда обитания
По среде обитания вирусы могут делиться на сетевые, файловые, загрузочные и макро-вирусы. Сетевые вирусы распространяются по компьютерной сети, файловые внедряются в выполняемые файлы или создают файлы-двойники, загрузочные — в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий системный загрузчик винчестера (Master Boot record). Макро-вирусы заражают файлы-документы и электронные таблицы нескольких популярных редакторов. Существует большое количество сочетаний - например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Другой пример такого сочетания - сетевой макро-вирус, который не только заражает редактируемые длокументы, но и рассылает свои копии по электронной почте.
Способы заражения
Способы заражения делятся на резидентные и нерезидентные. Резидентные вирусы при инфицировании компьютера оставляют в оперативной памяти свою резидентную часть, которая затем перехватывает обращения операционной системы к объектам заражения и внедряется в них. Нерезидентные вирусы не заражают память компьютера и являются активными в ограниченное время.
Деструктивные возможности
По деструктивным возможностям вирусы можно разделить на: безвредные, то есть никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения); неопасные, влияние которых ограничивается уменьшением свободной памяти на диске, графическими, звуковыми и прочими эффектами; опасные, которые могут привести к серьезным сбоям в работе компьютера; очень опасные, которые могут привести к потере программы, уничтожить данные, стереть необходимую для работы информацию, записанную в системных областях.
Особенности алгоритма
По особенностям алгоритма можно выделить следующие группы вирусов.
"Спутники"
Вирусы - "спутники"(companion) – это вирусы, не изменяющие файлы. Алгоритм работы этих вирусов состоит в том, что они создают для exe-файлов файлы-спутники, имеющие то же имя, но с расширением com. При запуске системы ищет вначале файл с расширением com, запускает его, вирус выполняет все свои действия, а затем запускает настоящую программу, у которой расширение exe.
"Черви"
Вирусы - "черви" (worm), вирусы, которые распространяются в компьютерной сети. Они проникают в память компьютера по сети, вычисляют адреса других компьютеров и распространяются по этим адресам. Иногда они оставляют временные файлы на компьютере, но некоторые могут и не затрагивать ресурсы компьютера за исключением оперативной памяти и разумеется процессора.
"Паразитические"
"Паразитические" - все вирусы, которые при распространении своих копий изменяют содержимое дисковых секторов и файлов. В эту группу входят все файлы, которые не являются "спутниками" и "червями".
"Студенческие"
"Студенческие" - крайне примитивные вирусы, часто нерезидентные и содержащие большое количество ошибок.
"Стелс"
"Стелс"-вирусы (вирусы-невидимки stealth) – это очень совершенные программы, которые перехватывают обращение DOS к пораженным файлам или секторам диска и мподставляют" вместо себя незараженные участки.
"Призраки"
Вирусы-"призраки" — достаточно трудно обнаруживаемые вирусы, не имеющие ни одного постоянного участка кода. Вирус шифрует свой адрес. При шифровке каждый раз используются разные ключи. Кроме того, модифицируется и программа-расшифровщик. Таким образом, код вируса в разных случаях заражения будет разным.
Математические модели распространения вирусов в компьютерных сетях
Проблемы информационной безопасности требуют внимания не только во время эксплуатации сетей, но и на этапе их проектирования. Для оценки защищенности компьютерной сети от программ нарушителей необходимо иметь модель их распространения в сетях различной структуры.
Рассмотрим локальную сеть, состоящую из N компьютеров. Каждый компьютер может находиться в одном из двух состояний – незараженный или зараженный. Сеть можно представить в виде графа, узлами которого являются компьютеры, а дугами – каналы связи между ними, по которым могут распространяться вирусы.
Передача вируса от узла m узлу k произойдет при одновременном наступлении следующих событий:
если компьютер m заражен на предыдущем шаге, вероятность этого
события равна формула;
если вирус пройдет по связи m-k, вероятность этого события равна wmk
Следовательно, вероятность передачи вируса от узла m узлу k равна
произведению вероятности зараженности компьютера m на предыдущем шаге, умноженной на вероятность перехода вируса по связи m – k:
формула
В результате подстановки получаем следующую матрицу переходов для
отдельного узла:
формула
