Классификация компьютерных вирусов

Вирусы можно разделить на классы по следующим основным признакам:

– деструктивные возможности;

– особенности алгоритма работы;

– среда обитания.

По деструктивным возможностям вирусы можно разделить на:

– безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);

– неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и прочими эффектами;

– опасные вирусы, которые могут привести к серьёзным сбоям в работе компьютера;

– очень опасные, в алгоритм работы которых заведомо заложены процедуры, которые могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти.

Особенности алгоритма работы вирусов можно охарактеризовать следующими свойствами:

– резидентность;

– использование стелс-алгоритмов;

– самошифрование и полиморфичность.

Под термином «резидентность» (DOS-овский термин TSR - Terminate and Stay Resident) понимается способность вирусов оставлять свои копии в системной памяти, перехватывать некоторые события (например, обращения к файлам или дискам) и вызывать при этом процедуры заражения обнаруженных объектов (файлов и секторов). Таким образом, резидентные вирусы активны не только в момент работы заражённой программы, но и после того, как программа закончила свою работу. Резидентные копии таких вирусов остаются жизнеспособными вплоть до очередной перезагрузки, даже если на диске уничтожены все зараженные файлы. Часто от таких вирусов невозможно избавиться восстановлением всех копий файлов с дистрибутивных дисков или backup-копий. Резидентная копия вируса остаётся активной и заражает вновь создаваемые файлы. То же верно и для загрузочных вирусов - форматирование диска при наличии в памяти резидентного вируса не всегда вылечивает диск, поскольку многие резидентные вирусы заражают диск повторно после того, как он отформатирован.

Нерезидентные вирусы, напротив, активны довольно непродолжительное время - только в момент запуска заражённой программы. Для своего распространения они ищут на диске незаражённые файлы и записываются в них. После того, как код вируса передает управление программе-носителю, влияние вируса на работу ОС сводится к нулю вплоть до очередного запуска какой-либо заражённой программы. Поэтому файлы, заражённые нерезидентными вирусами значительно проще удалить с диска и при этом не позволить вирусу заразить их повторно.

Стелс-вирусы теми или иными способами скрывают факт своего присутствия в системе. Наиболее распространённым стелс-алгоритмом является перехват запросов операционной системы на чтение/запись заражённых объектов.

Самошифрование и полиморфичность используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру детектирования вируса. Полиморфик-вирусы (polymorphic) - это достаточно трудно обнаружимые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

Вирусные воздействия или атаки можно также классифицировать по месту их расположения в компьютере. Известны три основных типа вирусных атак:

– атака загрузочного сектора;

– инфицирование файла;

– атака с использованием макросов.

Вирусы загрузочного сектора инфицируют загрузочный сектор или главную загрузочную запись компьютера. Когда компьютер загружается, вирусная программа активируется. Вирусы загрузочного сектора, прежде всего, перемещают в другое место или перезаписывают исходный загрузочный код и замещают его инфицированным загрузочным кодом. Информация исходного загрузочного сектора переносится на другой сектор диска, который помечается как дефектная область диска и далее не используется. Поскольку загрузочный сектор - первый элемент, загружаемый при запуске компьютера, обнаружение вирусов загрузочного сектора может оказаться нелегкой задачей. Вирусы загрузочного сектора - один из самых используемых типов вирусов. Они могут распространяться путем использования инфицированных гибких дисков при загрузке компьютера. Это может легко произойти, если при перезагрузке компьютера гибкий диск, вставлен в дисковод.

Вирусы, инфицирующие файлы, поражают исполняемые файлы. Они могут активироваться только при исполнении файла. Чаще прочих поражаются файлы типов СОМ, ЕХЕ, DLL, DRV, BIN, SYS и VXD. Вирусы, инфицирующие файлы, могут становиться резидентными и присоединяться к другим исполняемым программам. Вирусы, инфицирующие файлы, обычно заменяют инструкции загрузки программы исполняемого файла своими собственными инструкциями. Затем они переносят исходную инструкцию загрузки программы в другой раздел файла. Этот процесс увеличивает размер файла, что может помочь обнаружению вируса.

Вирусы, в основе которых лежат макросы (макровирусы), исполняют непредусмотренные действия путем использования макроязыка приложения для своего распространения в другие документы. Они могут, например, инфицировать файлы.DOT и.DOC приложения Microsoft Word, а также файлы Microsoft Excel.

Эти вирусы относятся к межплатформенным вирусам и могут инфицировать как системы Macintosh, так и PC.

Прочие вирусы могут иметь черты одного или нескольких приведенных выше типов:

вирусы-невидимки (" стелс-вирусы ") при работе пытаются скрыться как от операционной системы, так и антивирусных программ. Чтобы перехватить все попытки использования операционной системы, вирус должен находиться в памяти. Вирусы невидимки могут скрывать все изменения, которые они вносят в размеры файлов, структуру каталогов или иные разделы операционной системы. Это затрудняет их обнаружение;

зашифрованные вирусы во время работы шифруют свой вирусный код, что позволяет им предотвратить обнаружение и распознание вируса;

полиморфные вирусы могут изменять свой внешний вид при каждом инфицировании. Для изменения внешнего вида и затруднения обнаружения они используют механизмы мутаций. Полиморфные вирусы способны принимать более двух миллиардов различных форм, поскольку при каждом инфицировании изменяют алгоритм шифрования. Многокомпонентные вирусы инфицируют как загрузочные секторы, так и исполняемые файлы. Это один из самых сложных для обнаружения вирусов, поскольку многокомпонентные вирусы могут сочетать некоторые или все методы скрытия своей деятельности, присущие вирусам-невидимкам и полиморфным вирусам.