Объекты, в которые внедряются компьютерные вирусы, называются образно средой обитания вирусов. В зависимости от среды обитания различают следующие типы вирусов.
1. Файловые вирусы - внедряются в исполняемые файлы (ехе, com, bat), в системные файлы іo.sys и Msdos.sys, в файлы загружаемых драйверов (sys, drv. vxd), в файлы библиотек (dli), а также в ряд других типов файлов. После внедрения файловые вирусы начинают размножаться при каждом запуске файла.
2. Загрузочные вирусы - заражают загрузочный сектор диска (Boot-сектор) или сектор, содержащий программу системного загрузчика винчестера (Master Boot Record). Вирус такого типа замещает собой программу в загрузочном секторе и как следствие попадает в оперативную память и получает управление сразу при загрузке операционной системы.
3. Файлово-загрузочные вирусы - способны внедряться как в файлы, так и в загрузочные секторы. К таким вирусам относятся, например, стелс-вирусы и наиболее опасные экземпляры полиморфных вирусов. Стелс-вирусы, или вирусы-невидимки -вирусы со сложным алгоритмом. Это вирусы, которые не видимы при просмотре файлов средствами операционной системы. Стелс-вирусы могут перехватывать обращения к операционной системе. При открытии пораженного файла они немедленно удаляют из него свой программный код, а при закрытии файла восстанавливают свой код на прежнее место.
4. Макровирусы - внедряются в файлы документов Word и другие файлы, подготовленные в приложениях, имеющих свой язык макрокоманд (например. Excel). Формально эти вирусы являются файловыми, но заражают они не исполняемые файлы, а файлы данных. Опасность макровирусов не столько в их разрушительном действии, сколько в распространенности и многочисленности документов, подготовленных в популярных системах Word и Excel.
5. Сетевые вирусы - распространяются по компьютерной сети. Особенность этих вирусов состоит в том, что они заражают только оперативную память компьютеров и не записываются на носители информации. Если какой-либо из отдельных компьютеров отключается, вирус пережидает это время на других включенных компьютерах сети.
Возможна классификация вирусов не только по среде их обитания, но и по другим характеристикам, например, по способу заражения, по разрушительным возможностям, по алгоритму работы.
Классификация по способу заражения:
1. перезаписывающие вирусы - вирусы данного типа записывают свое тело вместо кода программы, не изменяя названия исполняемого файла, вследствие чего исходная программа перестает запускаться, т.к. при запуске программы выполняется код вируса, а не сама программа.
2. вирусы-компаньоны - как и перезаписывающие вирусы создают свою копию на месте заражаемой программы, но в отличие от перезаписываемых не уничтожают оригинальный файл, а переименовывают или перемещают его. При запуске программы вначале выполняется код программы, а затем управление предается оригинальной программе.
3. файловые черви - создают собственные копии с привлекательными для пользователя названиями, например, game.exe, install.exe, в надежде на то, что пользователь их запустит.
4. вирусы-звенья - как и компаньон-вирус, не изменяют код программы, а заставляют ОС выполнить собственный код, изменяя адрес местоположения на диске зараженной программы, на собственный адрес. После выполнения кода вируса управление обычно передается вызываемой пользователем программе.
5. паразитические вирусы - файловые вирусы изменяющие содержимое файла добавляя в него свой код, при этом зараженная программа сохраняет полную или частичную работоспособность. Код может внедряться в начало, середину или конец программы. Код вируса выполняется перед, после или вместе с программой, в зависимости от места внедрения вируса в программу.
6. вирусы поражающие исходный код программ - поражают исходный код программ или ее компоненты и после компиляции программы оказываются в нее встроенными.
В связи с различными способами заражения часто используют термины резидентный и нерезидентный вирус:
- резидентные вирусы попадают в оперативную память компьютера и могут постоянно проявлять свою активность вплоть до выключения или перезагрузки компьютера.
- нерезидентные вирусы, напротив, в память не внедряются и активны только ограниченное время, связанное с выполнением определенных задач.
Что касается различных алгоритмов работы вирусов, то ввиду огромного числа существующих вирусов (десятки тысяч) их классификация по этому признаку невозможна. Алгоритмы работы новых вирусов намного изощреннее алгоритма вирусов десятилетней давности. К вирусам со сложным алгоритмом работы относятся полиморфные вирусы. Это труднообнаруживаемые вирусы, поскольку они имеют зашифрованный программный код, который представляет собой как бы бессмысленный набор команд. Расшифровка кода производится самим вирусом в процессе его выполнения.
Прежде всего, вирус — это программа. Такое простое утверждение само по себе способно развеять множество легенд о необыкновенных возможностях компьютерных вирусов. Вирус может перевернуть изображение на вашем мониторе, но не может перевернуть сам монитор. Вирус — программа, обладающая способностью к самовоспроизведению. Такая способность является единственным средством, присущим всем типам вирусов. Но не только вирусы способны к самовоспроизведению. Любая операционная система и еще множество программ способны создавать собственные копии. Копии же вируса не только не обязаны полностью совпадать с оригиналом, но и могут вообще с ним не совпадать!
Вирус не может существовать в «полной изоляции»: нельзя представить себе вирус, который не использует код других программ, информацию о файловой структуре или даже просто имена других программ. Причина понятна — вирус должен каким-нибудь способом обеспечить передачу себе управления.
Вирус, как правило, внедряется в рабочую программу таким образом, чтобы при ее запуске управление сначала передалось ему и только после выполнения всех его команд снова вернулось к рабочей программе. Получив доступ к управлению, вирус, прежде всего, переписывает сам себя в другую рабочую программу и заражает ее. После запуска программы, содержащей вирус, становится возможным заражение других файлов.
Наиболее часто вирусом заражаются загрузочный сектор диска и исполняемые файлы, имеющие расширения .EXE, COM, .SYS, .ВАТ. Редко заражаются текстовые файлы.
После заражения программы вирус может выполнить какую-нибудь диверсию, не слишком серьезную, чтобы не привлечь внимания. И наконец, не забывает возвратить управление той программе, из которой он был запущен. Каждое выполнение зараженной программы переносит вирус в следующую. Таким образом заражается все программное обеспечение.
При заражении компьютера вирусом важно его обнаружить. Для этого следует знать об основных признаках проявления вирусов. К ним можно отнести:
• прекращение работы или неправильная работа ранее успешно функционировавших программ:
• замедление работы компьютера;
• невозможность загрузки операционной системы;
• исчезновение файлов и каталогов или искажение их содержимого;
• изменение даты и времени модификации файлов;
• изменение размеров файлов;
• неожиданное значительное увеличение количества файлов на диске;
• вывод на экран непредусмотренных сообщений или изображений;
• подача непредусмотренных звуковых сигналов;
• частые зависания и сбои в работе компьютера.
Следует отметить, что вышеперечисленные явления необязательно вызываются присутствием вируса, а могут быть следствием других причин. Поэтому всегда затруднена правильная диагностика состояния компьютера.
