Вирусы-программы W

Вирусы-программы W. Со временем вирусы, прятавшие свой код в теле других программ, сдали свои позиции.

Во многом это произошло из-за того, что размеры самих вирусов стали больше - а спрятать код размером в сотни килобайт не так-то просто. Да и сами программы и операционные системы резко поумнели, научившись проверять целостность собственных файлов. В итоге произошло то, что и должно было случиться - исполняемые вирусы перестали маскироваться, представ перед публикой в чистом виде. Вирус превратился в абсолютно отдельную, независимую программу, не нуждающуюся в хозяине-переносчике. Однако сразу же перед вирусописателями встал другой вопрос - а как заставить пользователей скачать и запустить у себя на машине этот самый вирус? Программные вирусы, написанные для операционной системы Windows, решили эту проблему, маскируясь под разные полезные утилиты - например, под ломалки для условно-бесплатных программ или мультимедийные презентации. Другой излюбленный приём распространителей заразы - наряжать свои детища в одежду обновлений для операционной системы или даже антивирусной программы! Увы, до сих пор многие пользователи, не задумываясь, запускают неизвестные программы, пришедшие в виде вложений в электронные письма якобы от Microsoft или Лаборатории Касперского - а ведь это самый верный путь поселить на свой компьютер вирус! Большинство вирусов люди запускают на своём компьютере самостоятельно увы, несмотря на все усилия борцов с вирусами, некие стереотипы человеческой психологии оказываются непреодолимыми В 1995-1999 гг. на просторах Интернета весело развивалась добрая сотня Windows-совместимых вирусов.

Эти милые зверушки, понятно, развились не просто так Только за период лета 1998 - лета 1999 г. Мир пережил несколько поистине разрушительных вирусных атак в результате деятельности вируса Win95.CIH, поражающего BIOS системной платы, из строя были выведены около миллиона компьютеров во всех странах мира. Сообщение об ошибке - результат работы вируса Blaster А совсем недавно, в середине 2003г Сеть оказалась поражена новым червем SoBig, распространявшимся в виде вложения в электронные письма.

Несмотря на то, что о вредоносных вложениях уже давно трубила вся пресса, люди запускали файл-вирус без малейших опасений.

И вот результат по данным аналитиков, в начале 2003 г. каждое 17-е письмо содержало в себе начинку в виде SoBig! Впрочем, некоторые вирусы способны атаковать ваш компьютер даже в том случае, если его тело физически находится в другом месте.

Например, один из самых модных вирусов 2003 г Blaster - был способен атаковать все компьютеры в локальной сети с одной-единственной машины! Сканируя локальную сеть, программа обнаруживала бреши в защите каждого компьютера, и самостоятельно пропихивала в эту дырочку вредоносный код. Для борьбы с W32-вирусами одной антивирусной программы, увы, недостаточно - главным условием вашей безопасности является обязательная и регулярная загрузка обновлений к Windows.

А именно - файлов- заплаток, предназначенных для закрытия уже обнаруженных дыр в системе защите операционной системы.

Для получения новых заплаток вам необходимо навестить центр обновления Windows - сайт Windows Update http windowsupdate.microsoft.com. При этом совершенно не обязательно набирать этот адрес в строке браузера вручную - достаточно зайти в меню Сервис программы Internet Explorer и выбрать пункт Windows Update. На открывшейся страничке вы увидите полный список обновлений, доступных для загрузки.

Учтите - все обновления из раздела Критические обновления необходимо устанавливать в обязательном порядке! Посещайте сайт Windows Update не реже раза в месяц, регулярно обновляйте базы данных вашего антивирусного пакета - и можете считать, что от львиной доли неприятностей вы застрахованы 2.2.2.Загрузочные вирусы Известные на текущий момент загрузочные вирусы заражают загрузочный boot сектор гибкого диска и boot-сектор или Master Boot Record MBR винчестера.

Принцип действия загрузочных вирусов основан на алгоритмах запуска операционной системы при включении или перезагрузке компьютера - после необходимых тестов установленного оборудования памяти, дисков и т.д. программа системной загрузки считывает первый физический сектор загрузочного диска A , C или CD-ROM в зависимости от параметров, установленных в BIOS Setup и передает на него управление. При заражении дисков загрузочные вирусы подставляют свой код вместо какой-либо программы, получающей управление при загрузке системы.

Принцип заражения, таким образом, одинаков во всех описанных выше способах вирус заставляет систему при ее перезапуске отдать управление не оригинальному коду загрузчика, а коду вируса. Заражение дискет производится единственным известным способом - вирус записывает свой код вместо оригинального кода boot-сектора дискеты. Винчестер заражается тремя возможными способами - вирус записывается либо вместо кода MBR, либо вместо кода boot-сектора загрузочного диска обычно диска C , либо модифицирует адрес активного boot-сектора в таблице разделов диска Disk Partition Table, расположенной в MBR винчестера.

При инфицировании диска вирус в большинстве случаев переносит оригинальный boot-сектор или MBR в какой-либо другой сектор диска например, в первый свободный. Если длина вируса больше длины сектора, то в заражаемый сектор помещается первая часть вируса, остальные части размещаются в других секторах например, в первых свободных . 2.2.3.Файловые вирусы По способу заражения файлов вирусы делятся на ь перезаписывающие overwriting ь паразитические parasitic ь вирусы-компаньоны companion ь вирусы-ссылки link ь вирусы, заражающие объектные модули OBJ ь вирусы, заражающие библиотеки компиляторов LIB ь вирусы, заражающие исходные тексты программ.

Overwriting Данный метод заражения является наиболее простым вирус записывает свой код вместо кода заражаемого файла, уничтожая его содержимое. Естественно, что при этом файл перестает работать и не восстанавливается.

Такие вирусы очень быстро обнаруживают себя, так как операционная система и приложения довольно быстро перестают работать. Parasitic К паразитическим относятся все файловые вирусы, которые при распространении своих копий обязательно изменяют содержимое файлов, оставляя сами файлы при этом полностью или частично работоспособными. Основными типами таких вирусов являются вирусы, записывающиеся в начало файлов prepending, в конец файлов appending и в середину файлов inserting. В свою очередь, внедрение вирусов в середину файлов происходит различными методами - путем переноса части файла в его конец или копирования своего кода в заведомо неиспользуемые данные файла cavity-вирусы . ь Внедрение вируса в начало файла Известны два способа внедрения паразитического файлового вируса в начало файла.

Первый способ заключается в том, что вирус переписывает начало заражаемого файла в его конец, а сам копируется в освободившееся место.

При заражении файла вторым способом вирус дописывает заражаемый файл к своему телу. Таким образом, при запуске зараженного файла первым управление получает код вируса. При этом вирусы, чтобы сохранить работоспособность программы, либо лечат зараженный файл, повторно запускают его, ждут окончания его работы и снова записываются в его начало иногда для этого используется временный файл, в который записывается обезвреженный файл, либо восстанавливают код программы в памяти компьютера и настраивают необходимые адреса в ее теле т.е. дублируют работу ОС . ь Внедрение вируса в конец файла Наиболее распространенным способом внедрения вируса в файл является дописывание вируса в его конец.

При этом вирус изменяет начало файла таким образом, что первыми выполняемыми командами программы, содержащейся в файле, являются команды вируса. Для того чтобы получить управление при старте файла, вирус корректирует стартовый адрес программы адрес точки входа. Для этого вирус производит необходимые изменения в заголовке файла. ь Внедрение вируса в середину файла Существует несколько методов внедрения вируса в середину файла.

В наиболее простом из них вирус переносит часть файла в его конец или раздвигает файл и записывает свой код в освободившееся пространство. Этот способ во многом аналогичен методам, перечисленным выше. Некоторые вирусы при этом компрессируют переносимый блок файла так, что длина файла при заражении не изменяется. Вторым является метод cavity, при котором вирус записывается в заведомо неиспользуемые области файла.

Вирус может быть скопирован в незадействованные области заголовок EXE-файла, в дыры между секциями EXE-файлов или в область текстовых сообщений популярных компиляторов. Существуют вирусы, заражающие только те файлы, которые содержат блоки, заполненные каким-либо постоянным байтом, при этом вирус записывает свой код вместо такого блока. Кроме того, копирование вируса в середину файла может произойти в результате ошибки вируса, в этом случае файл может быть необратимо испорчен. ь Вирусы без точки входа Отдельно следует отметить довольно незначительную группу вирусов, не имеющих точки входа EPO-вирусы - Entry Point Obscuring viruses. К ним относятся вирусы, не изменяющие адрес точки старта в заголовке EXE-файлов.

Такие вирусы записывают команду перехода на свой код в какое-либо место в середину файла и получают управление не непосредственно при запуске зараженного файла, а при вызове процедуры, содержащей код передачи управления на тело вируса.

Причем выполняться эта процедура может крайне редко например, при выводе сообщения о какой-либо специфической ошибке. В результате вирус может долгие годы спать внутри файла и выскочить на свободу только при некоторых ограниченных условиях. Перед тем, как записать в середину файла команду перехода на свой код, вирусу необходимо выбрать правильный адрес в файле - иначе зараженный файл может оказаться испорченным. Известны несколько способов, с помощью которых вирусы определяют такие адреса внутри файлов, например, поиск в файле последовательности стандартного кода заголовков процедур языков программирования C Pascal, дизассемблирование кода файла или замена адресов импортируемых функций.

Companion К категории companion относятся вирусы, не изменяющие заражаемых файлов. Алгоритм работы этих вирусов состоит в том, что для заражаемого файла создается файл-двойник, причем при запуске зараженного файла управление получает именно этот двойник, т.е. вирус.

К вирусам данного типа относятся те из них, которые при заражении переименовывают файл в какое-либо другое имя, запоминают его для последующего запуска файла-хозяина и записывают свой код на диск под именем заражаемого файла. Например, файл NOTEPAD.EXE переименовывается в NOTEPAD.EXD, а вирус записывается под именем NOTEPAD.EXE. При запуске управление получает код вируса, который затем запускает оригинальный NOTEPAD. Возможно существование и других типов вирусов-компаньонов, использующих иные оригинальные идеи или особенности других операционных систем.

Например, PATH-компаньоны, которые размещают свои копии в основном катагоге Windows, используя тот факт, что этот каталог является первым в списке PATH, и файлы для запуска Windows в первую очередь будет искать именно в нем. Данными способом самозапуска пользуются также многие компьютерные черви и троянские программы. Прочие способы заражения Существуют вирусы, которые никоим образом не связывают свое присутствие с каким-либо выполняемым файлом.

При размножении они всего лишь копируют свой код в какие-либо каталоги дисков в надежде, что эти новые копии будут когда-либо запущены пользователем. Иногда эти вирусы дают своим копиям специальные имена, чтобы подтолкнуть пользователя на запуск своей копии - например, INSTALL.EXE или WINSTART.BAT. Некоторые вирусы записывают свои копии в архивы ARJ, ZIP, RAR . Другие записывают команду запуска зараженного файла в BAT-файлы. Link-вирусы также не изменяют физического содержимого файлов, однако при запуске зараженного файла заставляют ОС выполнить свой код. Этой цели они достигают модификацией необходимых полей файловой системы. 2.2.4.Полиморфные вирусы Большинство вопросов связано с термином полиморфный вирус. Этот вид компьютерных вирусов представляется на сегодняшний день наиболее опасным.

Что это такое. Полиморфные вирусы - вирусы, модифицирующие свой код в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите. Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровщика и расшифровщика, что отличает их от обычных шифровальных вирусов, которые также могут шифровать участки своего кода, но имеют при этом постоянный код шифровальщика и расшифровщика.

Полиморфные вирусы - это вирусы с самомодифицирующимися расшифровщиками. Цель такого шифрования имея зараженный и оригинальный файлы, вы все равно не сможете проанализировать его код с помощью обычного дизассемблирования.

Этот код зашифрован и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны варианты он может расшифровать себя всего сразу, а может выполнить такую расшифровку по ходу дела, может вновь шифровать уже отработавшие участки. Все это делается ради затруднения анализа кода вируса. 2.2.5.Стелс-вирусы В ходе проверки компьютера антивирусные программы считывают данные - файлы и системные области с жестких дисков и дискет, пользуясь средствами операционной системы и базовой системы ввода вывода BIOS. Ряд вирусов, после запуска оставляют в оперативной памяти компьютера специальные модули, перехватывающие обращение программ к дисковой подсистеме компьютера.

Если такой модуль обнаруживает, что программа пытается прочитать зараженный файл или системную область диска, он на ходу подменяет читаемые данные, как будто вируса на диске нет. Стелс-вирусы обманывают антивирусные программы и в результате остаются незамеченными.

Тем не менее, существует простой способ отключить механизм маскировки стелс-вирусов. Достаточно загрузить компьютер с не зараженной системной дискеты и сразу, не запуская других программ с диска компьютера которые также могут оказаться зараженными, проверить компьютер антивирусной программой. При загрузке с системной дискеты вирус не может получить управление и установить в оперативной памяти резидентный модуль, реализующий стелс-механизм.

Антивирусная программа сможет прочитать информацию, действительно записанную на диске, и легко обнаружит вирус. 2.2.6.Макровирусы В эпоху классических вирусов любой более-менее грамотный пользователь прекрасно знал источником вирусной заразы могут быть только программы. И уж вряд ли даже в страшном сне могло присниться, что через несколько лет смертоносной начинкой обзаведутся текстовые документы! Впрочем, такие сообщения время от времени проскакивали ещё в конце 80-х годов.

Но появились они преимущественно первого апреля, так что никакой реакции, кроме смеха, вызвать не могли. Как оказалось, смеялись напрасно В 1995 г после появления операционной системы Windows 95 Microsoft с большой помпой объявила старым DOS-вирусам конец, Windows защищена от них на 100 , ну а новых вирусов в ближайшее время не предвидится. Если бы! Уже в том же 1995 г. было зарегистрировано несколько мощных вирусных атак и создан первый вирус, работающий под Windows 95. А меньше чем через полгода человечество было огорошено вирусами нового, совершенно неизвестного типа и принципа действия.

В отличие от всех приличных вирусов, новички паразитировали не на исполняемых файлах, а на документах, подготовленных в популярных программах из комплекта Microsoft Office. Ларчик открывался просто в текстовый редактор Microsoft Word и табличный редактор Microsoft Excel был встроен свой собственный язык программирования - Visual Basic for Applications VBA , предназначенный для созданий специальных дополнений к редакторам - макросов.

Эти макросы сохранялись в теле документов Microsoft Office и легко могли быть заменены вирусами. После открытия заражённого файла вирус активировался и заражал все документы Microsoft Office на вашем диске. Первоначально макровирусы - а именно так называли новый класс вирусов вели себя довольно пристойно. В крайнем случае - портили текстовые документы. Однако уже в скором времени макровирусы перешли к своим обычным обязанностям - уничтожению информации. К такому повороту дел борцы с вирусами явно не были готовы.

И потому буквально через несколько дней вирус Concept, поражающий документы Word, распространился по всей планете. Заражённые файлы Word с лакомым содержанием например, списками паролей к интернет-серверам путешествовали от пользователя к пользователю через Интернет. Доверчивые хватали наживку не задумываясь - ведь даже самые умные из них были убеждены через тексты вирусы не передаются! В итоге за четыре года, прошедших с момента появления первого макровируса, этот класс вирусов стал самым многочисленным и опасным.

Одна из самых мощных атак макровирусов была зарегистрирована в марте 1999 г когда вирус Melissa, созданный программистом Дывидом Смитом, всего за несколько часов распространился по всему миру. И хотя этот вирус был сравнительно безопасным Melissa ограничивалась тем, что заражала все существующие документы и рассылала свои копии людям, внесённым в адресную книгу Microsoft Outlook, его появление наделало немало шума. Именно появление Melissa заставило Microsoft срочно оснастить программы Microsoft Office защитой от запуска макросов.

При открытии любого документа, содержащего встроенные макросы, умный Word и Excel обязательно спросит пользователя а вы уверены, что вместо всяческих полезностей вам не подсовывают в документе всяческую бяку? И стоит ли эти макросы загружать? Нажмите кнопку Нет - и вирусу будет поставлен надёжный заслон.

Просто удивительно, что несмотря на такую простоту защиты большинство пользователей игнорирует предупреждения программы. И заражаются Майка лидера принадлежала макровирусам около пяти лет - срок, по меркам компьютерного мира, немалый. Выжить и преуспеть им помог Интернет - в течение последних лет вирусы этого типа распространились в основном по электронной почте. Источником заражения мог быть и присланный компьютерной фирмой прайс-лист, или рассказик, отосланный в виде файла-вложения незадачливым другом.

Сегодня число макровирусов снизилось в несколько раз - сегодня им принадлежит не более 15 всего вирусного рынка. Однако опасность заражения макровирусами по-прежнему высока - и поэтому будьте особенно осторожны, если вам часто приходится иметь дело с документами, созданными на других компьютерах. Качественный антивирус в сочетании с включённой защитой от макросов в программах Microsoft Office могут надёжно обезопасить вас от подобной напасти. 2.2.7.Скрипт-вирусы На самом деле макровирусы являются не самостоятельным видом, а всего лишь одной из разновидностей большого семейства вредоносных программ - скрипт-вирусов. Их обособление связано разве что с тем фактором, что именно макровирусы положили начало всему этому семейству, к тому же вирусы, заточенные под программы Microsoft Office, получили наибольшее распространение из всего клана.

Следует отметить также что скрипт-вирусы являются подгруппой файловых вирусов. Данные вирусы, написаны на различных скрипт-языках VBS, JS, BAT, PHP и т.д Общая черта скрипт-вирусов - это привязка к одному из встроенных языков программирования.

Каждый вирус привязан к конкретной дырке в защите одной из программ Windows и представляет собой не самостоятельную программу, а набор инструкций, которые заставляют в общем-то безобидный движок программы совершать не свойственные ему разрушительные действия. Как и в случае с документами Word, само по себе использование микропрограмм скриптов, Java-апплетов и т.д. не является криминалом большинство из них вполне мирно трудится, делая страничку более привлекательной или более удобной.

Чат, гостевая книга, система голосования, счётчик - всем этим удобствам наши странички обязаны микропрограммам- скриптам. Что же касается Java-апплетов, то их присутствие на страничке тоже обоснованно - они позволяют, например, вывести на экран удобное и функциональное меню, которое разворачивается под курсором мышки Удобства удобствами, но не стоит забывать, все эти апплеты и скрипты - самые настоящие, полноценные программы.

Причём многие из них запускаются и работают не где-то там, на неведомом сервере, а непосредственно на вашем компьютере! И, встроив в них вирус, создатели страницы смогут получить доступ к содержимому вашего жесткого диска. Последствия уже известны - от простой кражи пароля до форматирования жесткого диска. Разумеется, со скриптами-убийцами вам придётся сталкиваться во сто крат реже, чем с обычными вирусами.

Кстати, на обычные антивирусы в этом случае надежды мало, однако открытая вместе со страничкой зловредная программа должна будет преодолеть защиту самого браузера, создатели которого прекрасно осведомлены о подобных штучках. Настройка уровня безопасности Internet Explorer Вернёмся на минутку к настройкам Internet Explorer а именно в меню Сервис Свойства обозревателя Безопасность. Internet Explorer предлагает нам несколько уровней безопасности. Помимо стандартного уровня защиты зона Интернет мы можем усилить зона Ограничить или ослабить свою бдительность зона Надёжные узлы. Нажав кнопку Другой, мы можем вручную отрегулировать защиту браузера.

Впрочем, большая часть скрипт-вирусов распространяется через электронную почту такие вирусы чаще называют Интернет-червями. Пожалуй, ярчайшими представителями этого семейства являются вирусы LoveLetter и Anna Kournikova, атаки которых пришлись на сезон 2001-2002 г. Оба этих вируса использовали один и тот же приём, основанный не только на слабой защите операционной системы, но и на наивности пользователей.

Мы помним что переносчиками вирусов в большинстве случаев являются сообщения электронной почты, содержащие вложенные файлы. Помним и то, что вирус может проникнуть в компьютер либо через программы исполняемые файлы с расширением .exe, .com либо через документы Microsoft Office. Помним и то, что со стороны картинок или звуковых файлов нам никакая неприятность грозить вроде бы не может. А потому, раскопав нежданно-негаданно в почтовом ящике письмо с прикреплённой к нему судя по имени файла и расширению картинкой, тут же радостно её запускаем И обнаруживаем, под картинкой скрывался вредоносный вирусный скрипт. Хорошо ещё, что обнаруживаем сразу, а не после того, как вирус успел полностью уничтожить все ваши данные.

Хитрость создателей вируса проста - файл, который показался нам картинкой, имел двойное расширение! Например, AnnaKournikova.jpg.vbs Вот именно второе расширение и является истинным типом файла, в то время как первое является просто частью его имени. А поскольку расширение vbs Windows хорошо знакомо, она, не долго думая, прячет его от глаз пользователей, оставляя на экране лишь имя AnnaKournikova.jpg И Windows поступает так со всеми зарегистрированными типами файлов разрешение отбрасывается а о типе файла должен свидетельствовать значок.

На который, увы, мы редко обращаем внимание. Хороша ловушка, но различить её легче лёгкого фокус с двойным расширением не проходит, если мы заранее активируем режим отображения типов файлов. Сделать это можно с помощью меню Свойства папки на Панели управления Windows щёлкните по этому значку, затем откройте закладку Вид и снимите галочку со строчки Скрывать расширения для зарегистрированных типов файлов.

Запомните в качестве вложения в письмо допустимы лишь несколько типов файлов. Относительно безопасны файлы txt, jpg, gif, tif, bmp, mp3, wma. А вот список безусловно опасных типов файлов ь asx ь com ь inf ь msi ь bas ь cpl ь ins ь pif ь bat ь crt ь js ь reg ь cmd ь exe ь msc ь vbs Собственно говоря, список потенциальных вирусоносителей включает ещё не один десяток типов файлов.

Но эти встречаются чаще других. 2.2.8. Троянские программы, программные закладки и сетевые черви. Троянский конь - это программа, содержащая в себе некоторую разрушающую функцию, которая активизируется при наступлении некоторого условия срабатывания. Обычно такие программы маскируются под какие-нибудь полезные утилиты. Вирусы могут нести в себе троянских коней или троянизировать другие программы - вносить в них разрушающие функции.

Троянские кони представляют собой программы, реализующие помимо функций, описанных в документации, и некоторые другие функции, связанные с нарушением безопасности и деструктивными действиями. Отмечены случаи создания таких программ с целью облегчения распространения вирусов. Списки таких программ широко публикуются в зарубежной печати. Обычно они маскируются под игровые или развлекательные программы и наносят вред под красивые картинки или музыку.

Программные закладки также содержат некоторую функцию, наносящую ущерб ВС, но эта функция, наоборот, старается быть как можно незаметнее, т.к. чем дольше программа не будет вызывать подозрений, тем дольше закладка сможет работать. В качестве примера приведем возможные деструктивные функции, реализуемые троянскими конями и программными закладками 1. Уничтожение информации. Конкретный выбор объектов и способов уничтожения зависит только от фантазии автора такой программы и возможностей ОС. Эта функция является общей для троянских коней и закладок. 2. Перехват и передача информации.

В качестве примера можно привести реализацию закладки для выделения паролей, набираемых на клавиатуре. 3. Целенаправленная модификация кода программы, интересующей нарушителя. Как правило, это программы, реализующие функции безопасности и защиты. Если вирусы и троянские кони наносят ущерб посредством лавинообразного саморазмножения или явного разрушения, то основная функция вирусов типа червь, действующих в компьютерных сетях взлом атакуемой системы, т.е. преодоление защиты с целью нарушения безопасности и целостности. В более 80 компьютерных преступлений, расследуемых ФБР, взломщики проникают в атакуемую систему через глобальную сеть Internet.

Когда такая попытка удается, будущее компании, на создание которой ушли годы, может быть поставлено под угрозу за какие-то секунды. Этот процесс может быть автоматизирован с помощью вируса, называемого сетевой червь.

Червями называют вирусы, которые распространяются по глобальным сетям, поражая целые системы, а не отдельные программы. Это самый опасный вид вирусов, так как объектами нападения в этом случае становятся информационные системы государственного масштаба. С появлением глобальной сети Internet этот вид нарушения безопасности представляет наибольшую угрозу, т. к. ему в любой момент может подвергнуться любой из 80 миллионов компьютеров, подключенных к этой сети. ь Классы троянских программ Backdoor - троянские утилиты удаленного администрированияТроянские программы этого класса являются утилитами удаленного администрирования компьютеров в сети. По своей функциональности они во многом напоминают различные системы администрирования, разрабатываемые и распространяемые фирмами-производителями программных продуктов.

Единственная особенность этих программ заставляет классифицировать их как вредные троянские программы отсутствие предупреждения об инсталляции и запуске. При запуске троянец устанавливает себя в системе и затем следит за ней, при этом пользователю не выдается никаких сообщений о действиях троянца в системе.

Более того, ссылка на троянца может отсутствовать в списке активных приложений. В результате пользователь этой троянской программы может и не знать о ее присутствии в системе, в то время как его компьютер открыт для удаленного управления. Утилиты скрытого управления позволяют делать с компьютером все, что в них заложил автор принимать или отсылать файлы, запускать и уничтожать их, выводить сообщения, стирать информацию, перезагружать компьютер и т.д. В результате эти троянцы могут быть использованы для обнаружения и передачи конфиденциальной информации, для запуска вирусов, уничтожения данных и т.п пораженные компьютеры оказываются открытыми для злоумышленных действий хакеров.

Таким образом, троянские программы данного типа являются одним из самых опасных видов вредоносного программного обеспечения, поскольку в них заложена возможность самых разнообразных злоумышленных действий, присущих другим видам троянских программ.

Отдельно следует отметить группу бэкдоров, способных распространяться по сети и внедряться в другие компьютеры, как это делают компьютерные черви. Отличает такие троянцы от червей тот факт, что они распространяются по сети не самопроизвольно как черви, а только по специальной команде хозяина, управляющего данной копией троянской программы. Trojan-PSW - воровство паролейДанное семейство объединяет троянские программы, ворующие различную информацию с зараженного компьютера, обычно - системные пароли PSW - Password-Stealing-Ware. При запуске PSW-троянцы ищут сиcтемные файлы, хранящие различную конфиденциальную информацию обычно номера телефонов и пароли доступа к интернету и отсылают ее по указанному в коде троянца электронному адресу или адресам.

Существуют PSW-троянцы, которые сообщают и другую информацию о зараженном компьютере, например, информацию о системе размер памяти и дискового пространства, версия операционной системы, тип используемого почтового клиента, IP-адрес и т.п. Некоторые троянцы данного типа воруют регистрационную информацию к различному программному обеспечению, коды доступа к сетевым играм и прочее.

Trojan-AOL - семейство троянских программ, ворующих коды доступа к сети AOL America Online. Выделены в особую группу по причине своей многочисленности. Trojan-Clicker - интернет-кликерыСемейство троянских программ, основная функция которых - организация несанкционированных обращений к интернет-ресурсам обычно к веб-страницам. Достигается это либо посылкой соответствующих команд браузеру, либо заменой системных файлов, в которых указаны стандартные адреса интернет-ресурсов например, файл hosts в MS Windows. У злоумышленника могут быть следующие цели для подобных действий увеличение посещаемости каких-либо сайтов с целью увеличения показов рекламы организация DoS-атаки Denial of Service на какой-либо сервер привлечение потенциальных жертв для заражения вирусами или троянскими программами.

Trojan-Downloader - доставка прочих вредоносных программТроянские программы этого класса предназначены для загрузки и установки на компьютер-жертву новых версий вредоносных программ, установки троянцев или рекламных систем.

Загруженные из Интернета программы затем либо запускаются на выполнение, либо регистрируются троянцем на автозагрузку в соответствии с возможностями операционной системы.

Данные действия при этом происходят без ведома пользователя. Информация об именах и расположении загружаемых программ содержится в коде и данных троянца или скачивается троянцем с управляющего Интернет-ресурса обычно с веб-страницы. Trojan-Dropper - инсталляторы прочих вредоносных программТроянские программы этого класса написаны в целях скрытной инсталляции других программ и практически всегда используются для подсовывания на компьютер-жертву вирусов или других троянских программ.

Данные троянцы обычно без каких-либо сообщений либо с ложными сообщениями об ошибке в архиве или неверной версии операционной системы сбрасывают на диск в какой-либо каталог в корень диска C , во временный каталог, в каталоги Windows другие файлы и запускают их на выполнение. Обычно структура таких программ следующая Основной код Файл 1 Файл 2 Основной код выделяет из своего файла остальные компоненты файл 1, файл 2 записывает их на диск и открывает их запускает на выполнение. Обычно один или более компонентов являются троянскими программами, и как минимум один компонент является обманкой программой-шуткой, игрой, картинкой или чем-то подобным.

Обманка должна отвлечь внимание пользователя и или продемонстрировать то, что запускаемый файл действительно делает что-то полезное, в то время как троянский компонент инсталлируется в систему. В результате использования программ данного класса хакеры достигают двух целей скрытная инсталляция троянских программ и или вирусов защита от антивирусных программ, поскольку не все из них в состоянии проверить все компоненты внутри файлов этого типа. Trojan-Proxy - троянские прокси-сервераСемейство троянских программ, скрытно осуществляющих анонимный доступ к различным Интернет-ресурсам.

Обычно используются для рассылки спама. Trojan-Spy - шпионские программыДанные троянцы осуществляют электронный шпионаж за пользователем зараженного компьютера вводимая с клавиатуры информация, снимки экрана, список активных приложений и действия пользователя с ними сохраняются в какой-либо файл на диске и периодически отправляются злоумышленнику.

Троянские программы этого типа часто используются для кражи информации пользователей различных систем онлайновых платежей и банковских систем. ArcBomb - бомбы в архивахПредставляют собой архивы, специально оформленные таким образом, чтобы вызывать нештатное поведение архиваторов при попытке разархивировать данные - зависание или существенное замедление работы компьютера или заполнение диска большим количеством пустых данных.

Особенно опасны архивные бомбы для файловых и почтовых серверов, если на сервере используется какая-либо система автоматической обработки входящей информации - архивная бомба может просто остановить работу сервера. Встречаются три типа подобных бомб некорректный заголовок архива, повторяющиеся данные и одинаковые файлы в архиве. Некорректный заголовок архива или испорченные данные в архиве могут привести к сбою в работе конкретного архиватора или алгоритма разархивирования при разборе содержимого архива.

Значительных размеров файл, содержащий повторяющиеся данные, позволяет заархивировать такой файл в архив небольшого размера например, 5ГБ данных упаковываются в 200КБ RAR или в 480КБ ZIP-архив. Огромное количество одинаковых файлов в архиве также практически не сказывается на размере архива при использовании специальных методов например, существуют приемы упаковки 10100 одинаковых файлов в 30КБ RAR или 230КБ ZIP-архив. Trojan-Notifier - оповещение об успешной атакеТроянцы данного типа предназначены для сообщения своему хозяину о зараженном компьютере.

При этом на адрес хозяина отправляется информация о компьютере, например, IP-адрес компьютера, номер открытого порта, адрес электронной почты и т.п. Отсылка осуществляется различными способами электронным письмом, специально оформленным обращением к веб-странице хозяина , ICQ-сообщением. Данные троянские программы используются в многокомпонентных троянских наборах для извещения своего хозяина об успешной инсталляции троянских компонент в атакуемую систему. ь Сетевые червиОсновным признаком, по которому типы червей различаются между собой, является способ распространения червя - каким способом он передает свою копию на удаленные компьютеры.

Другими признаками различия СЧ между собой являются способы запуска копии червя на заражаемом компьютере, методы внедрения в систему, а также полиморфизм, стелс и прочие характеристики, присущие и другим типам вредоносного программного обеспечения вирусам и троянским программам. Email-Worm - почтовые червиК данной категории червей относятся те из них, которые для своего распространения используют электронную почту.

При этом червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе например, URL на зараженный файл, расположенный на взломанном или хакерском веб-сайте. В первом случае код червя активизируется при открытии запуске зараженного вложения, во втором - при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков - активизируется код червя. Для отправки зараженных сообщений почтовые черви используют различные способы.

Наиболее распространены прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку - 5 - использование сервисов MS Outlook использование функций Windows MAPI 5 - Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зараженные письма.

Почтовые черви рассылают себя по всем адресам, обнаруженным в адресной книге MS Outlook считывает адреса из адресной базы WAB - 5 - сканируют подходящие файлы на диске и выделяет в них строки, являющиеся адресами электронной почты отсылают с- 5 - ебя во всем адресам, обнаруженным в письмах в почтовом ящике при этом некоторые почтовые черви отвечают на обнаруженные в ящике письма. Многие черви используют сразу несколько из перечисленных методов. Встречаются также и другие способы поиска адресов электронной почты.

IM-Worm - черви, использующие интернет-пейджерыИзвестные компьютерные черви данного типа используют единственный способ распространения - рассылку на обнаруженные контакты из контакт-листа сообщений, содержащих URL на файл, расположенные на каком-либо веб-сервере. Данные прием практически полностью повторяет аналогичный способ рассылки, использующийся почтовыми червями. IRC-Worm - черви в IRC-каналахУ данного типа червей, как и у почтовых червей, существуют два способа распространения червя по IRC-каналам, повторяющие способы, описанные выше. Первый заключается в отсылке URL-ссылки на копию червя.

Второй способ - отсылка зараженного файла какому-либо пользователю сети. При этом атакуемый пользователь должен подтвердить прием файла, затем сохранить его на диск и открыть запустить на выполнение. Net-Worm - прочие сетевые червиСуществуют прочие способы заражения удаленных компьютеров, например копирование червя на сетевые ресурсы проникновение червя на компьютер через уязвимости в операцио- 5 - нных системах и приложениях проникновение в сетевые ресурсы публичного использования паразитирование на других вредоносных программах 5 - Первый способ заключается в том, что червь ищет удаленные компьютеры и копирует себя в каталоги, открытые на чтение и запись если такие обнаружены. При этом черви данного типа или перебирают доступные сетевые каталоги, используя функции операционной системы, и или случайным образом ищут компьютеры в глобальной сети, подключаются к ним и пытаются открыть их диски на полный доступ.

Для проникновения вторым способом черви ищут в сети компьютеры, на которых используется программное обеспечение, содержащее критические уязвимости.

Для заражения уязвимых компьютеров червь посылает специально оформленный сетевой пакет или запрос эксплойт уязвимости, в результате чего код или часть кода червя проникает на компьютер-жертву.

Если сетевой пакет содержит только часть кода червя, он затем скачивает основной файл и запускает его на исполнение. Отдельную категорию составляют черви, использующие для своего распространения веб- и FTP-сервера. Заражение происходит в два этапа. Сначала червь проникает в компьютер-сервер и необходимым образом модифицирует служебные файлы сервера например, статические веб-страницы. Затем червь ждет посетителей, которые запрашивают информацию с зараженного сервера например, открывают зараженную веб-страницу, и таким образом проникает на другие компьютеры в сети. Существуют сетевые черви, паразитирующие на других червях и или троянских программах уделенного администрирования бэкдорах. Данные черви используют тот факт, что многие бэкдоры позволяют по определенной команде скачивать указанный файл и запускать его на локальном диске. То же возможно с некоторыми червями, содержащими бэкдор-процедуры.

Для заражения удаленных компьютеров данные черви ищут другие компьютеры в сети и посылают на них команду скачивания и запуска своей копии.

Если атакуемый компьютер оказывается уже зараженным подходящей троянской программой, червь проникает в него и активизирует свою копию. Следует отметить, что многие компьютерные черви используют более одного способа распространения своих копий по сетям, использующие два и более методов атаки удаленных компьютеров. P2P-Worm - черви для файлообменных сетейМеханизм работы большинства подобных червей достаточно прост - для внедрения в P2P-сеть червю достаточно скопировать себя в каталог обмена файлами, который обычно расположен на локальной машине.

Всю остальную работу по распространению вируса P2P-сеть берет на себя - при поиске файлов в сети она сообщит удаленным пользователям о данном файле и предоставит весь необходимый сервис для скачивания файла с зараженного компьютера. Существуют более сложные P2P-черви, которые имитируют сетевой протокол конкретной файлообменной системы и на поисковые запросы отвечают положительно - при этом червь предлагает для скачивания свою копию. ь Прочие вредоносные программыК прочим вредоносным относятся разнообразные программы, которые не представляют угрозы непосредственно компьютеру, на котором исполняются, а разработаны для создания других вирусов или троянских программ, организации DoS-атак на удаленные сервера, взлома других компьютеров и т.п. DoS, DDoS - сетевые атакиПрограммы данного типа реализуют атаки на удаленные сервера, посылая на них многочисленные запросы, что приводит к отказу в обслуживании, если ресурсы атакуемого сервера недостаточны для обработки всех поступающих запросов DoS Denial of Service. DoS-программы реализуют атаку с одного компьютера с ведома пользователя. DDoS-программы Distributed DoS реализуют распределенные атаки с разных компьютеров, причем без ведома пользователя зараженного компьютера.

Для этого DDoS-программа засылается любым способом на компьютер жертв-посредников и после запуска в зависимости от текущей даты или по команде от хозяина начинает DoS-атаку на указанный сервер в сети. Некоторые компьютерные черви содержат в себе DoS-процедуры, атакующие сайты, которые по каким-либо причинам невзлюбил автор червя. Так, червь Codered 20 августа 2001 организовал успешную атаку на официальный сайт президента США, а червь Mydoom.a 1 февраля 2004 года выключил сайт SCO, производителя дистрибутивов UNIX. Exploit, HackTool - взломщики удаленных компьютеровХакерские утилиты данного класса предназначены для проникновения в удаленные компьютеры с целью дальнейшего управления ими используя методы троянских программ типа backdoor или для внедрения во взломанную систему других вредоносных программ.

Хакерские утилиты типа exploit при этом используют уязвимости в операционных системах или приложениях, установленных на атакуемом компьютере.

Flooder - замусоривание сетиДанные хакерские утилиты используются для забивания мусором бесполезными сообщениями каналов интернета - IRC-каналов, компьютерных пейджинговых сетей, электронной почты и т.д. Constructor - конструкторы вирусов и троянских программКонструкторы вирусов и троянских программ - это утилиты, предназначенные для изготовления новых компьютерных вирусов и троянцев. Известны конструкторы вирусов для DOS, Windows и макро-вирусов.

Они позволяют генерировать исходные тексты вирусов, объектные модули, и или непосредственно зараженные файлы.

Некоторые конструкторы снабжены стандартным оконным интерфейсом, где при помощи системы меню можно выбрать тип вируса, поражаемые объекты, наличие или отсутствие самошифровки, противодействие отладчику, внутренние текстовые строки, выбрать эффекты, сопровождающие работу вируса и т.п. Прочие конструкторы не имеют интерфейса и считывают информацию о типе вируса из конфигурационного файла.

FileCryptor, PolyCryptor - скрытие от антивирусных программХакерские утилиты, использующиеся для шифрования других вредоносных программ с целью скрытия их содержимого от антивирусной проверки.

Nuker - фатальные сетевые атакиУтилиты, отправляющие специально оформленные запросы на атакуемые компьютеры в сети, в результате чего атакуемая система прекращает работу. Используют уязвимости в программном обеспечении и операционных системах, в результате чего сетевой запрос специального вида вызывает критическую ошибку в атакуемом приложении. PolyEngine - полиморфные генераторыПолиморфные генераторы не являются вирусами в прямом смысле этого слова, поскольку в их алгоритм не закладываются функции размножения, т.е. открытия, закрытия и записи в файлы, чтения и записи секторов и т.д. Главной функцией подобного рода программ является шифрование тела вируса и генерация соответствующего расшифровщика.

Обычно полиморфные генераторы распространяются их авторами без ограничений в виде файла-архива. Основным файлом в архиве любого генератора является объектный модуль, содержащий этот генератор. Во всех встречавшихся генераторах этот модуль содержит внешнюю external функцию - вызов программы генератора. VirToolУтилиты, предназначенные для облегчения написания компьютерных вирусов и для их изучения в хакерских целях. 3.