Примеры воздействия макро и скрипт вирусов. Скрипт-вирусы. Изменение выполняемого кода

На самом деле макровирусы, описанные в предыдущей главе, являются не самостоятельным «видом», а всего лишь одной из разновидностей большого семейства вредоносных программ – скрипт-вирусов. Их обособление связано разве что с тем фактом, что именно макровирусы и положили начало всему этому семейству, к тому же вирусы, «заточенные» под программы Microsoft Office, получили наибольшее распространение из всего клана.

Общая черта скрипт-вирусов – это привязка к одному из «встроенных» языков программирования. Каждый из них привязан к конкретной «дырке» в защите одной из программ Windows и представляет собой не самостоятельную программу, а набор инструкций, которые заставляют в общем-то безобидный «движок» программы совершать несвойственные ему разрушительные действия.

С конца 90-х годов скрипт-вирусы сумели «оседлать» великое множество программ. Помимо уже знакомого семейства «макровирусов» встречаются «зверушки», умеющие атаковать Internet Explorer или Windows Media Player различных модификаций.

Как и в случае с документами Word, само по себе использование микропрограмм (скриптов, Java-апплетов и так далее) не является криминалом – большинство из них вполне мирно трудится, делая страничку более привлекательной для глаза или более удобной. Чат, гостевая книга, система голосования, счетчик – всем этим удобством наши странички обязаны микропро-граммам-«скриптам». Что же касается Java-апп-летов, то их присутствие на страничке тоже обоснованно – они позволяют, например, вывести на экран удобное и функциональное меню, которое разворачивается под курсором вашей мышки...

Удобства удобствами, но не стоит забывать, все эти апплеты и скрипты – самые настоящие, полноценные программы. Причем многие из них запускаются и работают не где-то там, «в прекрасном далеке», на неведомом сервере, а непосредственно на вашем компьютере! И, встроив в них вредоносную начинку, создатели страницы смогут получить доступ к содержимому вашего жесткого диска. Последствия уже известны – от простой кражи пароля до форматирования жесткого диска.

Разумеется, со «скриптами-убийцами» вам придется сталкиваться во сто крат реже, чем с обычными вирусами. Кстати, на обычные антивирусы в этом случае надежды мало, однако открытая вместе со страничкой зловредная программа должна будет преодолеть защиту самого браузера, создатели которого прекрасно осведомлены о подобных штучках.

Вернемся на минутку к настройкам Internet Explorer – а именно в меню Сервис Свойства обозревателя Безопасность .

Как видим, Internet Explorer предлагает нам несколько уровней безопасности. Помимо стандартного уровня защиты (зона Интернет ) мы можем усилить (зона Ограничить ) или ослабить свою бдительность (зона Надежные узлы ). Нажав же кнопку Другой , мы можем вручную отрегулировать защиту браузера, разрешив или запретив работу различных «активных элементов» страничек.

Хотя в системе безопасности того же Internet Explorer полно «дырок», которыми и могут воспользоваться злоумышленники, при грамотном использовании вы застрахуете себя от большинства неприятных неожиданностей. Скажем, входя на сомнительный «хакерский» сайт, защиту можно и усилить...

Впрочем, большая часть скрипт-вирусов распространяется через электронную почту (напомним, что такие вирусы чаще всего называют «интернет-червями»). Пожалуй, ярчайшими представителями этого семейства являются вирусы LoveLetter и Anna Kournikova, атаки которых пришлись на сезон 2001–2002 года. Оба этих «зверька» использовали один и тот же прием, основанный не только на слабой защите операционной системы, но и на наивности пользователей.

Мы помним, что переносчиками вирусов в большинстве случаев являются сообщения электронной почты, содержащие вложенные файлы. Помним и то, что зараза может проникнуть в компьютер либо через программы (то есть исполняемые файлы с расширением *.exe или *.com), либо через документы Microsoft Office, которые могут содержать вредоносные участки кода. Нам также известно, что со стороны картинок или звуковых файлов никакая неприятность грозить вроде бы не может. А потому, раскопав нежданно-негаданно в почтовом ящике письмо с прикрепленной к нему (судя по имени файла и расширению) картинкой, тут же радостно ее запускаем... И обнаруживаем, что под личиной картинки скрывался вредоносный вирусный «скрипт». Хорошо еще, если обнаруживаем сразу, а не после того, как вирус успел полностью уничтожить все ваши данные.

Хитрость создателей вируса проста – файл, который показался нам картинкой, имел двойное расширение! Например

AnnaCournikova.jpg.vbs

Вот именно второе расширение и является истинным типом файла, в то время как первое – просто часть его имени. А поскольку расширение vbs Windows хорошо знакомо, она, недолго думая, прячет его от глаз пользователей, оставляя на экране лишь имя

AnnaCournikova.jpg

Именно так Windows поступает со всеми зарегистрированными типами файлов: разрешение отбрасывается, а о типе файла должен свидетельствовать его значок. На который, увы, мы редко обращаем внимание.

Хороша ловушка?

Хороша. Но различить ее легче легкого: фокус с «двойным расширением» не проходит, если мы заранее активируем режим отображения типов файлов. Сделать это можно с помощью меню Свойства папки на Панели управления Windows: щелкните по этому значку, затем откройте закладку Вид и снимите галочку со строчки Скрывать расширения для зарегистрированных типов файлов .

Впрочем, совершенно необязательно, что вирусы сочтут нужным маскироваться. Иногда exe-файлы «вложены» в письмо совершенно открыто. И, казалось бы, тут уже и дураку понятно, что речь идет о вирусной атаке (особенно если письмо пришло от незнакомого вам человека). Однако и эти программы с охотой запускаются пользователями: одним из них коварные вирусо-писатели обещают продемонстрировать неизъяснимой красоты картинки (что, кстати, и делают), другим сулят программу для «взлома» Интернета, третьим представляются обновлением к популярной программе. Способов запудрить пользователю мозги немало. А ведь бывает и так, что зараженный файл со спокойной совестью посылает вам друг или знакомый... Наконец, вирусы вы можете заполучить вместе с самими программами – особенно в том случае, если вы скачиваете их с неизвестных вам серверов.

ЗАПОМНИТЕ: в качестве «вложения» в письмо допустимы лишь несколько типов файлов. Относительно безопасны (если не считать фокусов с «двойным расширением») файлы txt, jpg, gif, bmp, tif, mp3, wma «Условно-съедобными» можно признать документы Microsoft Office (doc, xls) и архивы zip и rar. Они, конечно, могут содержать вирус, но его вполне можно нейтрализовать с помощью антивирусной программы, при условии, что вы регулярно обновляете ее базы. Во всяком случае, такой файл можно открыть для просмотра.

А вот список безусловно опасных типов файлов: найдя их в присланном вам электронном письме, смело отправляйте его в мусорную корзину... которую потом стоит еще и очистить.

Сами по себе эти файлы – создания вполне мирные, так что не стоит лихорадочно шерстить компьютер, удаляя их направо и налево. Нет: знаком опасности является только присутствие этих файлов в письме, поскольку каждый из них почти наверняка несет в себе вирусную начинку.

Список потенциальных «вирусоносителей» включает еще не один десяток типов файлов. Но эти встречаются чаще других.

Лавинообразное распространение вирусов стало большой проблемой для большинства компаний и государственных учреждений. В настоящее время известно более 45 000 компьютерных вирусов, и каждый месяц появляется более 300 новых разновидностей .

Компьютерный вирус – это специально написанная программа, которая может "приписывать" себя к другим программам, т.е. "заражать их", с целью выполнения различных нежелательных действий на компьютере и в сети. Когда зараженная вирусом программа начинает свою работу, то сначала, как правило, управление получает вирус. Вирус может действовать самостоятельно, выполняя определенные вредоносные действия (изменяет файлы или таблицу размещения файлов на диске, засоряет оперативную память, изменяет адресацию обращений к внешним устройствам и т.д.), или заражать другие программы. Зараженные программы могут быть перенесены на другой компьютер с помощью дискет или локальной сети.

Формы организации вирусных атак весьма разнообразны, но в целом выделяют следующие их категории:

■ удаленное проникновение в компьютер – программы, которые получают неавторизованный доступ к другому компьютеру через Интернет (или локальную сеть);

■ локальное проникновение в компьютер – программы, которые получают неавторизованный доступ к компьютеру, на котором они впоследствии работают;

■ удаленное блокирование компьютера – программы, которые через Интернет (или сеть) блокируют работу всего удаленного компьютера или отдельной программы на нем;

■ локальное блокирование компьютера – программы, которые блокируют работу компьютера, на котором они работают;

■ сетевые сканеры – программы, которые осуществляют сбор информации о сети, чтобы определить, какие из компьютеров и программ, работающих на них, потенциально уязвимы к атакам;

■ сканеры уязвимых мест программ – программы, которые проверяют большие группы компьютеров в Интернет в поисках компьютеров, уязвимых к тому или иному конкретному виду атаки;

■ "вскрыватели" паролей – программы, которые обнаруживают легко угадываемые пароли в зашифрованных файлах паролей;

■ сетевые анализаторы (sniffers) – программы, которые слушают сетевой трафик. Часто в них имеются возможности автоматического выделения имен пользователей, паролей и номеров кредитных карт из трафика;

■ модификация передаваемых данных или подмена информации;

■ подмена доверенного объекта распределенной вычислительной сети (работа от его имени) или ее ложный объект;

■ "социальная инженерия" – НСД к информации иначе, чем взлом программного обеспечения. Цель – ввести в заблуждение сотрудников (сетевых или системных администраторов, пользователей, менеджеров) для получения паролей к системе или иной информации, которая поможет нарушить безопасность системы.

К вредоносному программному обеспечению относятся сетевые черви, классические файловые вирусы, троянские программы, хакерские утилиты и прочие программы, наносящие заведомый вред компьютеру, на котором они запускаются на выполнение, или другим компьютерам в сети.

Сетевые черви

Основным признаком, по которому типы червей различаются между собой, является способ распространения червя – как он передает свою копию на удаленные компьютеры. Другими признаками различия компьютерных червей между собой являются способы запуска копии червя на заражаемом компьютере, методы внедрения в систему, а также полиморфизм, "стеле" и прочие характеристики, присущие и другим типам вредоносного программного обеспечения (вирусам и троянским программам). Пример – Email-Worm, т.е. почтовые черви. К данной категории червей относятся те из них, которые для своего распространения используют электронную почту. При этом червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором – при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков – активизируется код червя.

Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены:

■ прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку;

■ использование сервисов MS Outlook;

■ использование функций Windows MAPI.

Для поиска почтовых адресов, на которые будут рассылаться зараженные письма, почтовыми червями используются различные методы. Почтовые черви:

■ рассылают себя по всем адресам, обнаруженным в адресной книге MS Outlook;

■ считывают адреса из адресной базы WAB;

■ сканируют "подходящие" файлы на диске и выделяет в них строки, являющиеся адресами электронной почты;

■ отсылают себя по всем адресам, обнаруженным в письмах в почтовом ящике (при этом некоторые почтовые черви "отвечают" на обнаруженные в ящике письма).

Многие черви используют сразу несколько из перечисленных методов. Встречаются также иные способы поиска адресов электронной почты.

Существуют и другие виды червей: IM-Worm – черви, использующие интернет-пейджеры, IRC-Worm – черви в IRC-каналах, Net-Worm – прочие сетевые черви.

Классические компьютерные вирусы

К данной категории относятся программы, распространяющие свои копии по ресурсам локального компьютера с целью последующего запуска своего кода при каких-либо действиях пользователя или дальнейшего внедрения в другие ресурсы компьютера.

В отличие от червей, вирусы не используют сетевых сервисов для проникновения на другие компьютеры. Копия вируса попадает на удаленные компьютеры только в том случае, если зараженный объект по каким-либо не зависящим от функционала вируса причинам оказывается активизированным на другом компьютере, например:

■ при заражении доступных дисков вирус проник в файлы, расположенные на сетевом ресурсе;

■ вирус скопировал себя на съемный носитель или заразил файлы на нем;

■ пользователь отослал электронное письмо с зараженным вложением.

Некоторые вирусы содержат в себе свойства других разновидностей вредоносного программного обеспечения, например бэкдор-процедуру, или троянскую компоненту, уничтожения информации на диске.

Многие табличные и графические редакторы, системы проектирования, текстовые процессоры имеют свои макроязыки для автоматизации выполнения повторяющихся действий. Эти макроязыки часто имеют сложную структуру и развитый набор команд. Макровирусы являются программами на макроязыках, встроенных в такие системы обработки данных. Для своего размножения вирусы этого класса используют возможности макроязыков и при их помощи переносят себя из одного зараженного файла (документа или таблицы) в другие.

Скрипт-вирусы

Скрипт-вирусы являются подгруппой файловых вирусов. Данные вирусы написаны на различных скрипт-языках (VBS, JS, ВАТ, РНР и т.д.). Они либо заражают другие скрипт-программы (командные и служебные файлы MS Windows или Linux), либо являются частями многокомпонентных вирусов. Данные вирусы также могут заражать файлы других форматов (например, HTML), если в них возможно выполнение скриптов.

Троянские программы

В данную категорию входят программы, осуществляющие различные несанкционированные пользователем действия: сбор информации и ее передачу злоумышленнику, ее разрушение или злонамеренную модификацию, нарушение работоспособности компьютера, использование ресурсов компьютера в неблаговидных целях. Отдельные категории троянских программ наносят ущерб удаленным компьютерам и сетям, не нарушая работоспособность зараженного компьютера (например, троянские программы, разработанные для массированных DoS-атак на удаленные ресурсы сети).

Троянские программы многообразны и различаются между собой по тем действиям, которые они производят на зараженном компьютере:

■ Backdoor – троянские утилиты удаленного администрирования;

■ Trojan-PSW – воровство паролей;

■ Trojan-AOL – семейство троянских программ, "ворующих" коды доступа к сети AOL (America Online). Выделены в особую группу по причине своей многочисленности;

■ Trojan-Clicker – интернет-кликеры. Семейство троянских программ, основная функция которых состоит в организации несанкционированных обращений к интернет-ресурсам (обычно к веб-страницам). Достигается это либо посылкой соответствующих команд браузеру, либо заменой системных файлов, в которых указаны "стандартные" адреса интернет-ресурсов (например, файл hosts в MS Windows);

■ Trojan-Downloader – доставка прочих вредоносных программ;

■ Trojan-Dropper – инсталляторы прочих вредоносных программ. Троянские программы этого класса написаны в целях скрытной инсталляции других программ и практически всегда используются для "подсовывания" на компьютер-жертву вирусов или других троянских программ;

■ Trojan-Proxy – троянские прокси-серверы. Семейство троянских программ, скрытно осуществляющих анонимный доступ к различным интернет-ресурсам. Обычно используются для рассылки спама;

■ Trojan-Spy – шпионские программы. Данные троянцы осуществляют электронный шпионаж за пользователем зараженного компьютера: вводимая с клавиатуры информация, снимки экрана, список активных приложений и действия пользователя с ними сохраняются в какой-либо файл на диске и периодически отправляются злоумышленнику. Троянские программы этого типа часто используются для кражи информации пользователей различных систем онлайновых платежей и банковских систем;

■ Trojan – прочие троянские программы. В данной категории также присутствуют "многоцелевые" троянские программы, например те из них, которые одновременно шпионят за пользователем и предоставляют proxy-сервис удаленному злоумышленнику;

■ Trojan ArcBomb – "бомбы" в архивах. Представляют собой архивы, специально оформленные таким образом, чтобы вызывать нештатное поведение архиваторов при попытке разархивировать данные – зависание или существенное замедление работы компьютера или заполнение диска большим количеством "пустых" данных. Особенно опасны "архивные бомбы" для файловых и почтовых серверов, если на сервере используется какая-либо система автоматической обработки входящей информации – "архивная бомба" может просто остановить работу сервера;

■ Trojan-Notifier – оповещение об успешной атаке. Троянцы данного типа предназначены для сообщения своему "хозяину" о зараженном компьютере. При этом на адрес "хозяина" отправляется информация о компьютере, например IP-адрес компьютера, номер открытого порта, адрес электронной почты и т.п. Отсылка осуществляется различными способами: электронным письмом, специально оформленным обращением к веб-странице "хозяина", ICQ-сообщением. Данные троянские программы используются в многокомпонентных троянских наборах для извещения своего "хозяина" об успешной инсталляции троянских компонент в атакуемую систему.

Хакерские утилиты и прочие вредоносные программы

■ утилиты автоматизации создания вирусов, червей и троянских программ (конструкторы);

■ программные библиотеки, разработанные для создания вредоносного программного обеспечения;

■ хакерские утилиты скрытия кода зараженных файлов от антивирусной проверки (шифровальщики файлов);

■ "злые шутки", затрудняющие работу с компьютером;

■ программы, сообщающие пользователю заведомо ложную информацию о своих действиях в системе;

■ прочие программы, тем или иным способом намеренно наносящие прямой или косвенный ущерб данному или удаленным компьютерам.

К прочим вредоносным относятся разнообразные программы, которые не представляют угрозы непосредственно компьютеру, на котором исполняются, а разработаны для создания других вирусов или троянских программ, организации DoS-атак на удаленные серверы, взлома других компьютеров и т.п.

К таким программам можно отнести:

■ DoS, DdoS – сетевые атаки;

■ Exploit, HackTool – взломщики удаленных компьютеров. Хакерские утилиты данного класса предназначены для проникновения в удаленные компьютеры с целью дальнейшего управления ими (используя методы троянских программ типа backdoor) или для внедрения во взломанную систему других вредоносных программ;

■ Flooder – "замусоривание" сети. Данные хакерские утилиты используются для "забивания мусором" (бесполезными сообщениями) каналов Интернета – IRC-каналов, компьютерных пейджинговых сетей, электронной почты и т.д.;

■ Constructor – конструкторы вирусов и троянских программ. Это утилиты, предназначенные для изготовления новых компьютерных вирусов и "троянцев". Известны конструкторы вирусов для DOS, Windows и макровирусов. Они позволяют генерировать исходные тексты вирусов, объектные модули и (или) непосредственно зараженные файлы;

■ Nuker – фатальные сетевые атаки. Утилиты, отправляющие специально оформленные запросы на атакуемые компьютеры в сети, в результате чего атакуемая система прекращает работу. Используют уязвимости в программном обеспечении и ОС, в результате чего сетевой запрос специального вида вызывает критическую ошибку в атакуемом приложении;

■ Bad-Joke, Hoax – "злые шутки", введение пользователя в заблуждение. К ним относятся программы, которые не причиняют компьютеру какого-либо прямого вреда, однако выводят сообщения о том, что такой вред уже причинен, либо будет причинен при каких-либо условиях, либо предупреждают пользователя о несуществующей опасности. К "злым шуткам" относятся, например, программы, которые "пугают" пользователя сообщениями о форматировании диска (хотя никакого форматирования на самом деле не происходит), детектируют вирусы в незараженных файлах, выводят странные вирусоподобные сообщения и т.д. – в зависимости от чувства юмора автора такой программы;

■ FileCryptor, PolyCryptor – скрытие от антивирусных программ. Хакерские утилиты, использующиеся для шифрования других вредоносных программ с целью скрытия их содержимого от антивирусной проверки;

■ PolyEngine – полиморфные генераторы. Они не являются вирусами в прямом смысле этого слова, поскольку в их алгоритм не закладываются функции размножения, т.е. открытия, закрытия и записи в файлы, чтения и записи секторов и т.д. Главной функцией подобного рода программ является шифрование тела вируса и генерация соответствующего расшифровщика;

■ VirTool – утилиты, предназначенные для облегчения написания компьютерных вирусов и их изучения в хакерских целях.

От чего надо защищаться в первую очередь? Во-первых, это вирусы (Virus, Worm) и всевозможные виды практически бесполезной информации (обычно рекламы), принудительно рассылаемой абонентам электронной почты (Spam). По различным данным в 2008 г. вирусным атакам было подвержено от 80 до 85% компаний во всем мире. И эта цифра продолжает расти.

Во-вторых, программы типа "троянский конь" (Trojan Horse) могут быть незаметно для владельца установлены на его компьютер и также незаметно функционировать на нем. Простые варианты "троянского коня" выполняют всего лишь одну функцию, например кражу паролей. Однако есть и более "продвинутые" экземпляры, которые реализуют широкий спектр функций для удаленного управления компьютером, включая просмотр содержимого каталогов, перехват всех вводимых с клавиатуры команд, кражу или искажение данных и информации, изменение файлов и содержания полей баз данных.

Другим распространенным типом атак являются действия, направленные на выведение из строя того или иного узла сети. Эти атаки получили название "отказ в обслуживании" (Denial of Service – DoS). На сегодняшний день известно более сотни различных вариантов этих действий. Ранее отмечалось, что выведение из строя узла сети на несколько часов может привести к очень серьезным последствиям. Например, выведение из строя сервера платежной системы банка приведет к невозможности осуществления платежей и, как следствие, к большим прямым и косвенным финансовым и рейтинговым потерям.

Атаки и угрозы такого типа являются наиболее частыми, однако существуют и другие угрозы, которые могут привести к серьезным последствиям. Например, система обнаружения атак RealSecure обнаруживает более 600 различных событий, влияющих на безопасность и относящихся к внешним атакам.

Американская организация US-CERT , занимающаяся проблемами в области компьютерной безопасности, предложила использовать стандартные названия для интернет-червей и других вредоносных программ. Члены US-CERT назвали свою программу "Общая классификация вредоносных программ" (СМЕ). Цель программы – не вводить пользователей в заблуждение, используя разные названия для одних и тех же вирусов. Например, червь W32.

Zotob.E по классификации "Symantec" в классификации "McAfee" называется W32/IRCbot.worm! MS05-039, a "Trend Micro" называет эту программу WORM_RBOT.CBQ.

Сейчас многие вирусы получают свои названия на основании описания или информации, включенной в код программы их создателями. В новой системе вирусы будут использовать номера СМЕ. Первый вирус получит название СМЕ-1.

Подобная система классификации уже существует для описания уязвимостей в программном обеспечении. Общий идентификатор уязвимостей включает в себя порядковый номер и год, в котором уязвимость была выявлена. В идентификатор вирусов не включают дату, потому что пользователи часто неправильно воспринимают эту информацию. Они считают, что уязвимость с ранней датой менее опасна, чем уязвимость, выявленная позже.

Инициаторы предложения о СМЕ допускают использование и старых вирусных имен, но надеются, что их система улучшит обмен информацией между антивирусными разработчиками и антивирусным сообществом в целом. Проект уже поддержали "Computer Associates", "McAfee", "Microsoft", "Symantec" и "F-Secure".

Как надо защищаться? Общие методики защиты от вирусов обязательно являются составной частью политики информационной безопасности предприятия. В соответствующих разделах политики описываются принципы антивирусной защиты, применяемые стандарты и нормативные документы, определяющие порядок действий пользователя при работе в локальной и внешних сетях, его полномочия, применяемые антивирусные средства. Наборы обязательных правил могут быть достаточно разнообразны. Однако для пользователей можно сформулировать в общем виде следующие правила:

■ проверять на вирусы все дискеты, CD-RW, ZIP-диски, побывавшие на другом компьютере, все приобретенные CD;

■ использовать антивирусные программы известных проверенных фирм, регулярно (в идеале – ежедневно) обновлять их базы;

■ не выгружать резидентную часть (монитор) антивирусной программы из оперативной памяти компьютера;

■ использовать только программы и данные, полученные из надежных источников – чаще всего вирусами бывают заражены пиратские копии программ;

■ никогда не открывать файлы, прикрепленные к электронным письмам, пришедшим от неизвестных отправителей, и не заходить на сайты, рекламируемые через спам-рассылки (по данным лаборатории Касперского, в настоящее время около 90% вирусов распространяются именно таким образом).

Аналогично можно сформулировать несколько общих требований к хорошей антивирусной программе. Такая программа должна:

■ обеспечивать эффективную защиту в режиме реального времени – резидентная часть (монитор) программы должна постоянно находиться в оперативной памяти компьютера и производить проверку всех файловых операций (при создании, редактировании, копировании файлов, запуске их на исполнение), сообщений электронной почты, данных и программ, получаемых из Интернета;

■ позволять проверять все содержимое локальных дисков "по требованию", запуская проверку вручную или автоматически по расписанию или при включении компьютера;

■ защищать компьютер даже от неизвестных вирусов – программа должна включать в себя технологии поиска неизвестных вирусов, основанные на принципах эвристического анализа;

■ уметь проверять и лечить архивированные файлы;

■ давать возможность регулярно (желательно ежедневно) обновлять антивирусные базы (через Интернет, с дискет или CD).

В настоящее время в России используются главным образом два проверенных качественных антивирусных пакета: Dr.WEB и "Антивирус Касперского". Каждый из этих продуктов имеет свою линейку, ориентированную на разные сферы применения, –для использования на локальных компьютерах, для малого и среднего бизнеса, крупных корпоративных клиентов, для защиты локальных сетей, почтовых, файловых серверов, серверов приложений. Оба продукта, безусловно, отвечают всем перечисленным требованиям.

Энциклопедия вирусов. [Электронный ресурс] Режим доступа: wvvw. viruslist.com/ru/viruses/encyclopedia.
Режим доступа: vww.vnunet.com/vnunet/news/2143314/ security-industry-gathers.

История появления вирусописательства чрезвычайно интересна - она ещё ждёт своего дотошного исследователя! До сих пор нет единого мнения относительно момента, который можно было бы считать официальным днём появления вируса, как не существовало и критериев, под которые можно было бы подвести то или иное ПО и отличить исследовательские эксперименты от целенаправленно написанной программы с вредоносными функциями.

В 1949 году Джон фон Нейман (John von Naumann), выдающийся американский математик венгерского происхождения, сделавший важный вклад в квантовую физику, квантовую логику, функциональный анализ, теорию множеств, информатику, экономику и другие отрасли науки, разработал математическую теорию создания самовоспроизводящихся программ. Это была первая попытка создать теорию такого явления, но она не вызвала большого интереса у научного сообщества, так как не имела видимого прикладного значения.

Нет согласия и по поводу происхождения названия "компьютерный вирус". По одной из версий это случилось 10 ноября 1983 года, когда аспирант Университета Южной Калифорнии (University of Southern California) Фред Коэн (Fred Cohen) во время семинара по безопасности в Лехайском университете (Пенсильвания, США) продемонстрировал на системе VAX 11/750 программу, способную внедряться в другие программные объекты. Эту программу можно с полным правом считать одним из первых прототипов компьютерного вируса.

Коэн внедрил написанный им код в одну из Unix-команд, и в течение пяти минут после запуска её на вычислительной машине получил контроль над системой. В четырёх других демонстрациях полного доступа удавалось добиться за полчаса, оставив поверженными все существовавшие в то время защитные механизмы.

Существует версия, что термином "вирус" назвал копирующую саму себя программу научный руководитель Фреда, один из создателей криптографического алгоритма RSA Леонард Эдлеман (Leonard Adleman).

Годом позже, на 7-й конференции по безопасности информации, Ф.Коэн дает научное определение термину "компьютерный вирус", как программе, способной "заражать" другие программы при помощи их модификации с целью внедрения своих копий и выполнения заданных действий. Отметим, что Ф.Коэн определённо не был новатором в этой области. Теоретические рассуждения о распространяющихся копированием с компьютера на компьютер программах и практическая реализация успешно осуществлялись и раньше. Однако именно презентация Ф.Коэна заставила специалистов серьёзно заговорить о потенциальном ущербе от преднамеренных атак. Всего через пятнадцать лет распространение вредоносного программного обеспечения приобрело угрожающие масштабы, радикально снизить которые не представляется возможным.

В некотором смысле опередил Ф. Коэна 15-летний школьник из Пенсильвании Рик Скрента (Rich Skrenta). Его излюбленным занятием было подшучивание над товарищами путём модификаций кода игр для Apple II, которые приводили к внезапному выключению компьютеров или выполняли другие действия. В 1982 году он написал Elk Cloner - самовоспроизводящийся загрузочный вирус, инфицировавший Apple II через гибкий магнитный диск. Во время каждой 50-й перезагрузки ПК появлялось сообщение со словами: "Он завладеет вашими дисками, он завладеет вашими чипами. Да, это Cloner! Он прилипнет к вам как клей, он внедрится в память. Cloner приветствует вас!"

Программа Р.Скрента не вышла далеко за пределы круга его друзей. Лавры достались "шедевру" программистской мысли, появившемуся несколькими годами позже. Программу Brain ("Мозг") создали в 1988 году двое братьев - выходцев из Пакистана, которым приписывается инфицирование ПК через созданные ими нелегальные копии программы для мониторинга работы сердца. Вирус содержал уведомление об авторском праве с именами и телефонами братьев, поэтому пользователи заражённых машин могли обратиться к напрямую к вирусописателям за "вакциной". За первой версией Brain последовало множество модификаций, преследовавших сугубо коммерческий интерес.

В 1988 году аспирант Корнельского университета (Cornell University) Роберт Теппен Моррис младший (Robert Tappan Morris Jr.), приходившийся сыном главному научному сотруднику Агентства национальной безопасности США (National Security Agency), выпустил в свет первый широко распространившийся компьютерный червь, хотя экспериментальные работы в этой области проводились с конца 1970-х годов. Этот тип программ чаще всего не производит никаких деструктивных манипуляций с файлами пользователя и ставит целью как можно более быстрое и широкое распространение, снижая эффективность работы сетей.

По некоторым оценкам, от 5% до 10% подключённых в то время к Сети машин, по большей части принадлежавших университетам и исследовательским организациям, были атакованы им. Червь использовал уязвимости нескольких программах, в том числе Sendmail. Р.Т.Моррис стал первым человеком, осуждённым по обвинению в преступлениях в компьютерной сфере, и получил 3 года условно. Однако это не помешало ему впоследствии стать профессором Массачусетского технологического института (MIT).

Следующий большой шаг вредоносное ПО совершило в 90-х годах с ростом спроса на персональные компьютеры и количества пользователей электронной почты. Электронные коммуникации предоставили гораздо более эффективный путь инфицирования ПК, чем через носители информации. Образцом скорости распростанения стал вирус Melissa в 1999 году, внедрившийся в 250 тыс. систем. Однако он был безвреден, за исключением того, что каждый раз при совпадении времени и даты - например, 5:20 и 20 мая - на экране возникала цитата из The Simpsons.

Годом позже появился Love Bug, известный также как LoveLetter. За короткое время вирус облетел весь мир! Он был написан филиппинским студентом и приходил в электронном сообщении с темой "I Love You". Как только пользователь пытался открыть вложение, вирус через Microsoft Outlook пересылал себя по всем адресам в списке контактов. Затем скачивал троянскую программу для сбора интересующей филиппинца информации. LoveLetter атаковал около 55 миллионов ПК и заразил от 2,5 до 3 миллионов. Размер причинённого им ущерба оценивался в 10 миллиардов, но студент избежал наказания, поскольку Филиппины не имели в то время законодательной базы для борьбы с киберпреступниками [Борн Денис, http://www.wired.com ].

Лавинообразное распространением вирусов стало большой проблемой для большинства компаний и государственных учреждений. В настоящее время известно более миллиона компьютерных вирусов и каждый месяц появляется более 3000 новых разновидностей ["Энциклопедия Вирусов", http://www.viruslist.com/ru/viruses/encyclopedia .].

Компьютерный вирус - это специально написанная программа, которая может "приписывать" себя к другим программам, т.е. "заражать их", с целью выполнения различных нежелательных действий на компьютере, в вычислительной или информационной системе и в сети.

Когда такая программа начинает работу, то сначала, как правило, управление получает вирус. Вирус может действовать самостоятельно, выполняя определенные вредоносные действия (изменяет файлы или таблицу размещения файлов на диске, засоряет оперативную память, изменяет адресацию обращений к внешним устройствам, генерирует вредоносное приложение, крадет пароли и данные и т.д.), или "заражает" другие программы. Зараженные программы могут быть перенесены на другой компьютер с помощью дискет или локальной сети.

Формы организации вирусных атак весьма разнообразны, но в целом практически их можно "разбросать" по следующим категориям:

удаленное проникновение в компьютер - программы, которые получают неавторизованный доступ к другому компьютеру через Internet (или локальную сеть);
локальное проникновение в компьютер - программы, которые получают неавторизованный доступ к компьютеру, на котором они впоследствии работают;
удаленное блокирование компьютера - программы, которые через Internet (или сеть) блокируют работу всего удаленного компьютера или отдельной программы на нем;
локальное блокирование компьютера - программы, которые блокируют работу компьютера, на котором они работают;
сетевые сканеры - программы, которые осуществляют сбор информации о сети, чтобы определить, какие из компьютеров и программ, работающих на них, потенциально уязвимы к атакам;
сканеры уязвимых мест программ - программы, проверяют большие группы компьютеров в Интернет в поисках компьютеров, уязвимых к тому или иному конкретному виду атаки;
"вскрыватели" паролей - программы, которые обнаруживают легко угадываемые пароли в зашифрованных файлах паролей;
сетевые анализаторы (sniffers) - программы, которые слушают сетевой трафик; часто в них имеются возможности автоматического выделения имен пользователей, паролей и номеров кредитных карт из трафика;
модификация передаваемых данных или подмена информации;
подмена доверенного объекта распределённой вычислительной сети (работа от его имени) или ложный объект распределённой ВС (РВС).
"социальная инженерия" - несанкционированный доступ к информации иначе, чем взлом программного обеспечения. Цель - ввести в заблуждение сотрудников (сетевых или системных администраторов, пользователей, менеджеров) для получения паролей к системе или иной информации, которая поможет нарушить безопасность системы.

Сетевые черви

Основным признаком, по которому типы червей различаются между собой, является способ распространения червя - каким способом он передает свою копию на удаленные компьютеры. Другими признаками различия КЧ между собой являются способы запуска копии червя на заражаемом компьютере, методы внедрения в систему, а также полиморфизм, "стелс" и прочие характеристики, присущие и другим типам вредоносного программного обеспечения (вирусам и троянским программам).

Пример - E-mail-Worm - почтовые черви. К данной категории червей относятся те из них, которые для своего распространения используют электронную почту. При этом червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором - при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков - активизируется код червя.

Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены:

прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку;
использование сервисов MS Outlook;
использование функций Windows MAPI.

Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зараженные письма. Почтовые черви:

рассылают себя по всем адресам, обнаруженным в адресной книге MS Outlook;
считывает адреса из адресной базы WAB;
сканируют "подходящие" файлы на диске и выделяет в них строки, являющиеся адресами электронной почты;
отсылают себя по всем адресам, обнаруженным в письмах в почтовом ящике (при этом некоторые почтовые черви "отвечают" на обнаруженные в ящике письма).

Многие черви используют сразу несколько из перечисленных методов. Встречаются также и другие способы поиска адресов электронной почты. Другие виды червей: IM-Worm - черви, использующие Internet-пейджеры, IRC-Worm - черви в IRC-каналах, Net-Worm - прочие сетевые черви.

Классические компьютерные вирусы

К данной категории относятся программы, распространяющие свои копии по ресурсам локального компьютера с целью: последующего запуска своего кода при каких-либо действиях пользователя или дальнейшего внедрения в другие ресурсы компьютера.

В отличие от червей, вирусы не используют сетевых сервисов для проникновения на другие компьютеры. Копия вируса попадает на удалённые компьютеры только в том случае, если зараженный объект по каким-либо не зависящим от функционала вируса причинам оказывается активизированным на другом компьютере, например:

при заражении доступных дисков вирус проник в файлы, расположенные на сетевом ресурсе;
вирус скопировал себя на съёмный носитель или заразил файлы на нем;
пользователь отослал электронное письмо с зараженным вложением.

Некоторые вирусы содержат в себе свойства других разновидностей вредоносного программного обеспечения, например бэкдор-процедуру или троянскую компоненту уничтожения информации на диске.

Многие табличные и графические редакторы, системы проектирования, текстовые процессоры имеют свои макроязыки (макросы) для автоматизации выполнения повторяющихся действий. Эти макроязыки часто имеют сложную структуру и развитый набор команд. Макро-вирусы являются программами на макроязыках, встроенных в такие системы обработки данных. Для своего размножения вирусы этого класса используют возможности макроязыков и при их помощи переносят себя из одного зараженного файла (документа или таблицы) в другие.

Скрипт-вирусы

Следует отметить также скрипт-вирусы, являющиеся подгруппой файловых вирусов. Данные вирусы, написаны на различных скрипт-языках (VBS, JS, BAT, PHP и т.д.). Они либо заражают другие скрипт-программы (командные и служебные файлы MS Windows или Linux), либо являются частями многокомпонентных вирусов. Также, данные вирусы могут заражать файлы других форматов (например, HTML), если в них возможно выполнение скриптов.

Троянские программы

В данную категорию входят программы, осуществляющие различные несанкционированные пользователем действия: сбор информации и её передачу злоумышленнику, ее разрушение или злонамеренную модификацию, нарушение работоспособности компьютера, использование ресурсов компьютера в неблаговидных целях. Отдельные категории троянских программ наносят ущерб удаленным компьютерам и сетям, не нарушая работоспособность зараженного компьютера (например, троянские программы, разработанные для массированных DoS-атак на удалённые ресурсы сети).

Backdoor - троянские утилиты удаленного администрирования.
Trojan-PSW - воровство паролей.
Trojan-AOL - семейство троянских программ, "ворующих" коды доступа к сети AOL (America Online). Выделены в особую группу по причине своей многочисленности.
Trojan-Clicker - Internet-кликеры. Семейство троянских программ, основная функция которых - организация несанкционированных обращений к Internet-ресурсам (обычно к Web-страницам). Достигается это либо посылкой соответствующих команд браузеру, либо заменой системных файлов, в которых указаны "стандартные" адреса Internet-ресурсов (например, файл hosts в MS Windows).
Trojan-Downloader - доставка прочих вредоносных программ.
Trojan-Dropper - инсталляторы прочих вредоносных программ. Троянские программы этого класса написаны в целях скрытной инсталляции других программ и практически всегда используются для "подсовывания" на компьютер-жертву вирусов или других троянских программ.
Trojan-Proxy - троянские прокси-сервера. Семейство троянских программ, скрытно осуществляющих анонимный доступ к различным интернет-ресурсам. Обычно используются для рассылки спама.
Trojan-Spy - шпионские программы. Данные троянцы осуществляют электронный шпионаж за пользователем зараженного компьютера: вводимая с клавиатуры информация, снимки экрана, список активных приложений и действия пользователя с ними сохраняются в какой-либо файл на диске и периодически отправляются злоумышленнику. Троянские программы этого типа часто используются для кражи информации пользователей различных систем онлайновых платежей и банковских систем.
Trojan - прочие троянские программы. В данной категории также присутствуют "многоцелевые" троянские программы, например, те из них, которые одновременно шпионят за пользователем и предоставляют proxy-сервис удаленному злоумышленнику.
Trojan ArcBomb - "бомбы" в архивах. Представляют собой архивы, специально оформленные таким образом, чтобы вызывать нештатное поведение архиваторов при попытке разархивировать данные - зависание или существенное замедление работы компьютера или заполнение диска большим количеством "пустых" данных. Особенно опасны "архивные бомбы" для файловых и почтовых серверов, если на сервере используется какая-либо система автоматической обработки входящей информации - "архивная бомба" может просто остановить работу сервера.
Trojan-Notifier - оповещение об успешной атаке. Троянцы данного типа предназначены для сообщения своему "хозяину" о зараженном компьютере. При этом на адрес "хозяина" отправляется информация о компьютере, например, IP-адрес компьютера, номер открытого порта, адрес электронной почты и т. п. Отсылка осуществляется различными способами: электронным письмом, специально оформленным обращением к веб-странице "хозяина", ICQ-сообщением. Данные троянские программы используются в многокомпонентных троянских наборах для извещения своего "хозяина" об успешной инсталляции троянских компонент в атакуемую систему.

12.09.2013

– являются основой большинства макровирусов. Они являются своего рода родоначальниками всего семейства макровирусов, а также они являются одной из подгрупп . Они пишутся на огромном количестве языков программирования – начиная от VBS, JS и заканчивая BAT и PHP. Основным признаком подобного вредоносного программного обеспечения является то, что они будто привязываются к одному из встроенных языков программирования, на котором были созданы. По своей сущности скрипт-вирусы представляют из себя набор определенных инструкций, которые заставляют ту или иную программу совершать те действия, которые до этого не были предусмотрены ее создателями – разрушительные действия.

Стоит отметить, что использование разнообразных скриптов, апплетов не является само по себе вредоносным действием, скорее наоборот, их использование делает для пользователей, ведь разнообразные чаты, диалоги и другие возможности появляются исключительно при использовании этих микропрограмм. Но в том случае, если в эти скрипты и апплеты встроить вредоносное программное обеспечение, то злоумышленники могут даже получить доступ к конфиденциальной информации, хранящейся на компьютере пользовтаеля, разумеется, что возможны и более серьезные последствия – вплоть до форматирования жесткого диска, на котором могут храниться такие данные, которые не должны попадать в чужие руки. Естественно, что подобные вирусы, которые способны буквально уничтожать систему будут встречаться несколько реже, чем те, которые способны считывать информацию с персонального компьютера пользователя. Стоит отметить то, что антивирусное программное обеспечение не сможет обнаружить вредоносную программу . Единственным, пожалуй, плюсом во всей сложившейся ситуации можно считать то, что защита браузера может сработать так как надо и скрипт вирусы могут быть обнаружены, ведь создатели браузеров очень многое знают о такой разновидности вредоносного программного обеспечения.

Файловые вирусы

Загрузочные вирусы

Это компьютерные вирусы, записывающиеся в первый сектор гибкого или жесткого диска и выполняющиеся при загрузке компьютера

Скриптовые вирусы

Требуют наличия одного из скриптовых языков (Javascript, VBScript) для самостоятельного проникновения в неинфицированные скрипты. Вирусы, поражающие исходный код Вирусы данного типа поражают или исходный код программы, либо её компоненты (OBJ-, LIB-, DCU- файлы) а также VCL и ActiveX компоненты

Стелс-вирусы

Вирус, полностью или частично скрывающий свое присутствие в системе, путем перехвата обращений к операционной системе, осуществляющих чтение, запись, чтение дополнительной информации о зараженных объектах (загрузочных секторах, элементах файловой системы, памяти и т.д.)

Кейлоггеры

Модули для перехвата нажатий клавиш на компьютере пользователя, включаемые в состав программ-вирусов

«Кролики» размножаются.

Мнения по поводу даты рождения первого компьютерного вируса расходятся. Доподлинно известно только то, что в самом первом механическом компьютере, так называемой машине Беббиджа, их не было.

В середине 70-х был обнаружен один из первых настоящих вирусов -- «The Creeper», который мог самостоятельно войти в сеть через модем и передать свою копию удаленной системе. Для борьбы с ним создали первую известную антивирусную программу-- «The Reeper».

Те, кто начал работать на IBM-PC в середине 80-х, наверняка помнят повальную эпидемию вирусов «Brain», «Vienna», «Cascade». Буквы сыпались на экранах, а толпы пользователей осаждали специалистов по ремонту мониторов. Затем компьютер заиграл «Yankee Doodle», правда, чинить динамики теперь никто не бросился -- уже было понятно, что это вирус.

Время шло, вирусы плодились. Все они были похожи друг на друга -- лезли в память, цеплялись к файлам и секторам, периодически убивали дискеты и винчестеры. Летом 1991 года появился вирус-невидимка «Dir-II», противоядие для которого нашли далеко не сразу...

В августе 1995 года, когда все прогрессивное человечество праздновало выход новой операционной системы Windows 95 от Microsoft, практически незамеченным прошло сообщение о вирусе, заражающем документы Microsoft Word. Он получил имя «Concept» и в мгновение ока проник в тысячи (если не в миллионы) компьютеров -- ведь передача текстов в формате MS Word стала одним из стандартов. Для того чтобы заразиться вирусом, требовалось всего лишь открыть зараженный документ, и все остальные редактируемые документы также «заболевали», В результате, получив по Интернету зараженный файл и прочитав его, пользователь, сам того не ведая, оказывался разносчиком компьютерной заразы. Опасность заражения MS Word, учитывая возможности Интернета, стала одной из самых серьезных проблем за всю историю существования вирусов.

Но MS Word дело не ограничилось. Летом 1996 года появился вирус «Laroux», поражающий таблицы MS Excel. (В 1997 году этот вирус вызвал эпидемию в Москве.) К лету 97-го число макровирусов достигло нескольких сотен...

18 сентября этого года на Тайване был повторно арестован создатель знаменитого «Чернобыля» Чен Ин-Хау. (Первый раз Чен Ин-Хау задержали в апреле 1999 года, но он избежал наказания, поскольку на тот момент не имелось официальных жалоб от тайваньских компаний. Поводом для нового ареста послужили обвинения, предъявленные тайваньским студентом, который пострадал от вируса «Чернобыль» уже в апреле этого года.) Этот вирус был обнаружен на Тайване в июне 98-го. Тогда его автор заразил компьютеры университета, в котором учился. «Больные» файлы расползлись по местным Интернет-конференциям, и вирус выбрался за пределы Тайваня. Через неделю эпидемия поразила Австрию, Австралию, Израиль и Великобританию. Затем вирус проявил себя и в других странах, в том числе и в России.

Примерно через месяц зараженные файлы появились на нескольких американских Web-серверах, распространяющих игровые программы, что, видимо, и послужило причиной последовавшей глобальной эпидемии «Чернобыля». 26 апреля 1999 года взорвалась «логическая бомба», заложенная в его код. По различным оценкам, в этот день по всему миру пострадало около 500 тыс. компьютеров -- были уничтожены данные на жестких дисках, а в некоторых случаях даже испорчены микросхемы на материнских платах. Никогда еще вирусные эпидемии не приносили таких убытков. Через какое-то время «Чернобыль» сработал вновь. Ущерб, нанесенный им только в Южной Корее, оценивается в $250 млн.

22 октября этого года на Филиппинах арестовали 19-летнего хакера, подозреваемого в распространении вирусов. (Позднее он был отпущен на свободу до окончания расследования.) Власти Филиппин, видимо, решили таким образом реабилитироваться после нескольких неудачных попыток привлечь к ответственности распространителей вируса «LoveLetter», причинившего огромный ущерб в мае этого года.

Сегодня в базе одного из самых мощных отечественных, да и, пожалуй, мировых средств антивирусной защиты, «AVP Евгения Касперского», содержится информация о 40 393 вирусах (на б ноября 2000 года), а также соответствующие средства обнаружения, лечения и удаления.