Wirusy komputerowe

Klasyczny wirus komputerowy to krótki program zdolny do powielania samego siebie. Łagodne wirusy poprzestają jedynie na bezobjawowym replikowaniu się. Inne, wyświetlają na ekranie komunikaty tekstowe lub efekty graficzne. Bardziej złośliwe zawierają procedury destrukcyjne - np. kasowanie plików na dysku twardym. Najniebezpieczniejsze potrafiła nie tylko pozbawić użytkownika danych, ale także uszkodzić płytę główna komputera, monitor, a nawet drukarkę. W czasach, gdy Internet był jeszcze mało dostępy, a dominującym systemem operacyjnym był DOS, typowa infekcja wirusowa zaczynała się od włożenia zainfekowanej dyskietki do stacji dysków i uruchomienia pliku, który był nosicielem mikroba. Wirus instalował się w pamięci RAM i infekował kolejne pliki na dysku twardym i dyskietkach. Mógł też umieścić własny kod w sektorze rozruchowym dysku twardego (tzw.bootsector), dzięki temu jedna z pierwszych czynności, jakie wykonywał system operacyjny po włączeniu komputera, było uaktywnienie wirusa. Na tym etapie użytkownik zwykle nie zauważał żadnych niepokojących objawów, zresztą jedynym, który mógłby zauważyć, była niewielka zmiana wielkości zakażonych plików, spowodowana dołączeniem do nich kodu wirusa. Bardziej widoczne objawy infekcji pojawiały się najczęściej dopiero w momencie uaktywnienia się procedur destrukcyjnych. Gdyby jednak destrukcja następowała bezpośrednio po zakażeniu, szanse wirusa na powielanie i rozprzestrzenianie swego kodu "genetycznego" byłyby marne. Dlatego złośliwa część kodu zwykle uaktywniała się z pewnym opóźnieniem, np. w Wigilię Bożego Narodzenia. Od momentu zarażenia do wystąpienia objawów mogło, więc minach wiele miesięcy, podczas których komputer był bezobjawowym nosicielem i czynnym źródłem zakażenia. Wirus komputerowy składa się z dwóch podstawowych części: głowy (jądra) i ogona (ciała). Za głowę uznaje się tę jego część, która uzyskuje sterowanie przebiegiem wykonania programu i służy do samo powielania się. W najprostszym przypadku jest to jedyna część wirusa. Ogon jest opcjonalna częścią i ma za zadanie realizację określonych funkcji (np. wyświetlenie komunikatu czy usunięcie pliku).

Zasada działania wirusów uzależniona jest od inwencji twórców. Możemy w nich wyróżnić trzy podstawowe fazy. Pierwsza faza występuje zawsze, natomiast moment wykonania dwóch pozostałych jest dowolny.
? I aktywacja: jest to uruchomienie głowy wirusa. W przypadku wirusów dyskowych polega na uruchomieniu komputera z zarażonego nośnika, natomiast w przypadku wirusów plikowych jest to uruchomienie zainfekowanego programu. Faza ta jest obligatoryjna i po jej zakończeniu wirus może zakończyć swoja działalność.
? II destrukcja: polega na dokonaniu zniszczeń w systemie (np. usunięcie plików). Jest to najniebezpieczniejsza cześć działalności wirusa. Faza ta jest opcjonalna, a niektóre wirusy na tym etapie kończą swoje działanie.
? III ujawnienie: polega na poinformowaniu użytkownika o obecności niechcianego programu (np. odegranie melodyjki czy wyświetlenie komunikatu). Faza ta jest opcjonalna.


Rodzaje wirusów

Wirusy pasożytnicze (ang. Parasite infectors)

Większość wirusów to wirusy pasożytnicze, które wykorzystują swoje ofiary do transportu, modyfikując ich strukturę wewnętrzna. Ze względu na miejsce zajmowane w zainfekowanych plikach wirusy pasożytnicze dzieli się na:
? Wirusy nadpisujące (overwrite infectors), lokujące się na początku pliku, często niezapamiętujące poprzedniej zawartości pliku, (co w efekcie nieodwracalnie niszczy plik)
? Wirusy lokujące się na końcu pliku (End of file infectors), najbardziej rozpowszechniona odmiana wirusów pasożytniczych, które modyfikują pewne ustalone struktury na początku pliku tak, aby wskazywały na wirusa, po czym dopisują się na jego końcu;
? Wirusy nagłówkowe (header infector), lokujące się w nagłówku plików EXE przeznaczonych dla systemów DOS; wykorzystujące fakt, iż nagłówek plików EXE jest standardowo ustawiony przez programy linkujace na wielokrotnosć jednego sektora (512 bajtów). Zwykle wirusy te nie przekraczają rozmiaru jednego sektora i infekują poprzez przejęcie funkcji BIOS służących do odczytu i zapisu sektorów (02,03/13)
? Wirusy lokujące się w pliku w miejscu gdzie jest jakiś pusty, niewykorzystany obszar (np. wypełniony ciągiem zer), który można nad pisać nie niszcząc pliku
? Wirusy lokujące się w dowolnym miejscu pliku
? Wirusy wykorzystujące cześć ostatniej Jednostki Alokacji Pliku JAP, korzystające z faktu, iż plik rzadko zajmuje dokładnie wielokrotność jednej JAP.
Wirusy towarzyszące

Ich działanie opiera się na hierarchii stosowanej przez DOS podczas uruchamiania programów. W momencie uruchamiania programu, w przypadku nie podania rozszerzenia uruchomianego pliku, najpierw poszukiwany jest plik o rozszerzeniu COM, potem EXE, a na końcu BAT. Np.: jeżeli w jednym katalogu istnieją 3 pliki: prog. bat, prog. com, prog.exe to kolejność ich uruchomienia będzie następująca: prog.com, prog.exe, prog.bat. Plik prog.com uruchomi się, gdy podamy nazwę z rozszerzeniem com. lub bez. Prog.exe uruchomimy gdy podamy pełna nazwę bdz poprzez uprzednie usunięcie pliku prog.com. Prog.bat uruchomimy gdy usuniemy poprzednie pliki prog.com i prog.exe lub wpiszemy jego pełna nazwę prog.bat. Jak widać wirus ma kilka możliwości, aby zainfekować uruchamiany program?
? Istnieje plik com.: nie można zastosować infekcji;
? Istnieje plik exe.: Można utworzyć plik o takiej samej nazwie, o rozszerzeniu com, zawierający wirusa;
? Istnieje plik bat: można utworzyć plik o takiej samej nazwie, o rozszerzeniu com lub exe, zawierający wirusa;
Następna próba uruchomienia tak zarażonego programu spowoduje najpierw uruchomienie podszywającego się pod program wirusa, a dopiero ten, po zakończeniu pracy, przekaże sterowanie do programu macierzystego, najczęściej poprzez wywołanie programu interpretatora poleceń z parametrem: C/NazwaPlikuOfiary.
Makrowirusy

Makrowirusy nie zarażają programów uruchamialnych, lecz pliki zawierające definicje makr. Najpopularniejsze obiekty infekcji to pliki DOC (dokumenty: Word), XLS (arkusze kalkulacyjne: Excel), SAM (dokumenty: AmiPro). Do mnożenia się Makrowirusy wykorzystują funkcje zawarte w językach makr, wbudowanych w powyższe aplikacje, np.; WordBasic w Microsoft Word lub Visual Basic for Applications w Excelu. Wirusy makro potrafiła dokonywać zmian w naszych dokumentach: przestawiać literki, cos dopisywać, cos skasować. Robiła to długo i niezauważalnie, a potem nagle okazuje się, że cos nie gra w budżecie firmy przygotowanym w Excelu. Kopie zapasowe też SA zakażone. Makrowirusy należna do najmłodszej rodziny wirusów. Makrowirusy Worda wykorzystują fakt, że szablony dokumentów mnoga zawierać makra. Wirus uaktywnia się w chwili otwarcia zainfekowanego dokumentu, po czym zaraża zdrowe zbiory z rozszerzeniem *.doc. i zapisuje je jako szablony (dokumenty nie mnoga zawierać makr). W ostatnim kroku jedno lub kilka automatycznie wykonywanych makr zostaje zastąpionych kodem wirusa. Makrowirusy zagnieżdża się zwykle w szablonie normal.dot, zatem każdy kolejny zapisany dokument staje się nośnikiem infekcji.
Bomby logiczne

Bomba może pozostać w ukryciu przez długi czas, swoje działanie ukazuje w określonym odpowiednimi warunkami czasie (najczęściej zależne od aktualnej daty lub liczby poprzednich wywołań programu, czy np. skasowanie określonego pliku). Kod może być ukryty w dowolnym miejscu programu zawierającego bombę, więc należy ostrożnie obchodzić się z aplikacjami pochodzenia nieznanego. Bomba logiczna może badać, którzy użytkownicy asa zalogowani lub jakie programy asa w danej chwili używane w systemie. W jednym z klasycznych przykładów, bomba logiczna sprawdzała występowanie numeru identyfikacyjnego określonego pracownika, a następnie uruchamiała się, jeśli numer ten nie pojawiał się na dwóch kolejnych listach płac. Raz zaktywizowana, bomba logiczna może doprowadzić do zniszczenia lub zmiany danych, spowodować zawieszenie urządzenia lub w jaki inny sposób uszkodzić system.


Robaki ( ang. worms)

Są to programy które podobnie jak wirusy mnoga zawierać procedury destrukcyjne i z łatwością mnoga zniszczyć dane zgromadzone na dysku twardym. Robaki asa najbardziej popularne w sieciach, gdzie maja do dyspozycji protokoły transmisji sieciowej, dzięki którym mnoga przemieszczać się po całej sieci. Do prawidłowego funkcjonowania nie potrzebują nosiciela (wytwarzając swoje dokładne kopie). Rozmnażają się samoistnie i w sposób ciągły, powodując w bardzo krótkim czasie wyczerpanie zasobów systemu. Wirusy tego typu asa zdolne w bardzo krótkim czasie sparaliżować nawet dosyć rozległa sieć komputerowa. Należna do wirusów chyba najczęściej spotykanych, asa uruchamiane przez nasza głupotę bądź niewiedzę. Po uruchomieniu wykorzystują np. adresy osób z książki adresowej programu pocztowego i wysyłają do nich swoje kopie.
Króliki ( rabbits, bakterie)

Sa to programy, które w zasadzie nie niszczał plików. Ich jedynym celem jest samokopiowanie. Typowy program w rodzaju bakterii lub królika może nie robić nic więcej niż jednoczesne uruchomienie dwóch swoich kopii w systemach wieloprogramowych lub stworzenie dwóch nowych plików, z których każdy jest kopia oryginalnego pliku źródłowego bakterii. Oba programy mnoga następnie skopiować się podwójnie itd. Bakterie reprodukują się wykładniczo, zabierając ostatecznie cała moc obliczeniowa procesora, pamięć lub wolny obszar pamięci dyskowej, uniemożliwiając użytkownikowi dostęp do tych zasobów. Ten rodzaj ataku jest jedna z najstarszych form zaprogramowanych zagrożeń. Użytkownicy niektórych z najwcześniejszych urządzeniach wieloprocesorowych używali tych programów w celu zawieszenia pracy danego urządzenia lub po prostu by zobaczyć, co się stanie. Na taka formę ataku asa szczególnie narażone urządzenia nieposiadające ograniczeń wykorzystania zasobów i ograniczeń w stosunku do użytkowników.
Wirusy plików wsadowych

Wirusy plików wsadowych wykorzystujące do transportu pliki BAT, istnieją od dosyć dawna. Często potrafiła infekować nie tylko pliki BAT, ale także pliki COM, EXE czy sektor tablicy partycji. Po uruchomieniu zainfekowanego pliku wsadowego tworzony jest plik uruchamialny com lub exe( za pomocna polecenia ECHO, którego parametry asa przekierowywane do pliku), zawierający właściwy kod infekujący pliki bat. Po utworzeniu jest on wykonywany, a następnie kasowany. Procesor nie rozróżnia kodu i danych, można jednak utworzyć plik, który będzie mógł się wykonać zarówno jako typowy plik bat, jak i plik com. Po uruchomieniu zainfekowanego pliku bat wirus kopiuje się do pliku tymczasowego o rozszerzeniu com i wykonuje się, tym razem jako kod maszynowy.
Konie trojańskie

Koń trojański nie jest wirusem komputerowym, ale ze względu na swoje działanie często bywa z nim utożsamiany. Uruchamiany wykonuje niby normalna pracę, wynikająca z przeznaczenia programu, lecz dodatkowo, niejako w tle, od razu po uruchomieniu wykonuje jakieś niezauważalne dla użytkownika operacje (niszczy, kasuje, zamazuje dane na dysku, może również wykradać hasła i przesyłać je do autora trojona lub brutalnie sformatować dysk). Konie najczęściej przenoszą się w plikach udających nowe, popularne programy kompresujące(np.: ZIP, ARJ, RAR) lub też udają programy narzędziowe do obsługi dysków. Może ukrywać się również np. w pożytecznym (na pozór) oprogramowaniu, jak np. program antywirusowy czy przegladarkę plików graficznych. Jak widzimy konie trojańskie znajdują się właśnie w takich programach i dlatego też użytkownik sam je sobie instaluje i korzysta z nich, nieświadomy tego co może go spotkać. Można powiedzieć, że trojan to - zwykły program, który został zmieniony poprzez wstawienie miedzy jego linijki niechcianego kodu i właśnie ten kawałek kodu spełnia nie znane użytkownikowi funkcje. Większość nowych trojanów posiada opcje, dzięki którym zostaniemy powiadomiony e-mailem o tym, że ofiara uruchomiła serwer (zarażony plik) na swoim komputerze. Otrzymamy też numer IP ofiary oraz inne informacje. Oczywiście możemy zdefiniować adres emaliowy na który majl być przysyłane te informacje. Prawie każdy nowszy trojan pozwala na manipulowanie plikami na komputerze ofiary. Użytkownik może przeglądać, kasować, przenosić, wysyłać, sciągać, uruchamiać pliki na cudzym komputerze. Trojony majl wiele więcej niebezpiecznych opcji. Uruchamia się je odpowiednim przyciskiem za pomocna którego można przykładowo sformatować dysk twardy ofiary. Inna niebezpieczna funkcja to możliwość uruchomienia serwera FTP na dysku ofiary i otworzenia portów co pozwoli wszystkim innym użytkownikom sieci na ściąganie, wgrywanie czy uruchamianie plików z komputera ofiary. Posiadają też mniej złośliwe opcje, takie jak ukrycie wskaźnika myszy, przejęcie kontroli nad myszka, restart Windows, wyświetlenie rysunku itp. Nie asa one szkodliwe, ale dla nie których mnoga być trochę denerwujące. Uruchomienie zarażonego pliku powoduje otworzenie specyficznego portu i nasłuchiwanie na połączenie z zewnątrz. Trojan może używać protokołu TCP lub UPD. Jeśli już połączymy się z IP ofiary możemy wtedy robić z jego komputerem co tylko chcemy, pozwala na to serwer który ofiara uruchomiła na swoim komputerze. Coraz więcej trojanów uruchamia się ponownie przy każdym restarcie Windows lub wyłączeniu komputera. Modyfikują pliki win.ini lub system.ini, dzięki czemu trojan może się uruchamiać po każdym załadowaniu Windows, większość trojanów modyfikuje jednak rejestr aby uzyskać ten efekt. Trojan to bardzo niebezpieczna zabawka. Ktoś może dowiedzieć się wielu rzeczy o Nas.
Fałszywki (Haoxy)

Fałszywki, to inaczej ostrzeżenia przed nieistniejącymi wirusami. Cecha charakterystyczna fałszywego ostrzeżenia jest prośba o przesłanie go do możliwie dużej liczby osób - rzekomo w trosce o ich bezpieczeństwo. Początkujący internauci, rozsyłają fałszywe alarmy do kogo się tylko da, co pozwala hoaxom krążyć po Internecie całymi miesiącami, w milionach egzemplarzy, doprowadzając do wściekłości osoby, które otrzymują je po raz n-ty. Pamiętajmy by nie rozsyłać fałszywych alarmów! Jeśli trafi do nas ostrzeżenie, wystarczy wejść na stronę dowolnego producenta programów antywirusowych i sprawdzić tam, czy nie jest to hoax. Wygodnym rozwiązaniem jest zaprenumerowanie e-mailowego biuletynu na temat wirusów. Godny polecenia jest polskojęzyczny biuletyn MKS-a. Raz na parę dni do naszej poczty e-mailowej trafi wiarygodny raport o nowych wirusach oraz zbliżających się datach uaktywnienia się niebezpiecznych mikrobów atakujących z opóźnieniem. Autorzy biuletynu bezlitośnie demaskują też krążące po sieci hoaxy! Możemy również otrzymać emaila z wiadomością, że plik o podanej nazwie jest wirusem i można się go pozbyć jedynie poprzez usunięcie tego pliku. W rzeczywistości plik nie jest wirusem i może być nawet częścią systemu operacyjnego, a jego usunięcie może spowodować nieprzewidziane skutki. Użytkownik najczęściej zastosuje się do wskazówek zawartych w otrzymanej wiadomości i w dobrej wierze rozpowszechni ja dalej (w przypadku maili spowoduje to niepotrzebny wzrost generowanego w sieci ruchu). Oprócz wywołania zamieszania fałszywki mogą również przyczynić się do poniesienia szkód (np. otrzymanie wiadomości o awarii serwera i prośbie o wysłanie hasła do konta na podany adres). Walczyć z takimi fałszywymi alarmami jest szczególnie trudno gdyż nigdy nie ma 100% pewności czy asa one prawdziwe czy nie. Najlepiej jest mieć ograniczone zaufanie do podejrzanych i pochodzących z niepewnych źródeł wiadomości i sprawdzać ich wiarygodność w serwisach antywirusowych.
Podział wirusów ze względu na sposób ich działanie

Wirusy rezydentne (ang. resident viruses)

Zasada działania tych wirusów polega na zainstalowaniu się w pamięci operacyjnej komputera i przejęciu odpowiednich odwołań do systemu w sposób podobny jak czyniła to programy typu TSR (Terminate but stay Resident). Typowy wirus rezydentny po zainstalowaniu ukrywa swój kod przed programami przeglądającymi pamięć. Aktywny i jednocześnie ukryty w pamięci, ma o wiele szersze pole manewru niż wirusy nie rezydentne. Monitorowanie odpowiednich funkcji DOS i BIOS pozwala mu przy każdej dowolnej próbie dostępu na infekcje plików lub sektorów. Możliwe jest także zastosowanie techniki zaawansowanego ukrywania się w systemie (tzw., technika stealth). Zawładnięcia systemu dokonuje się poprzez przejęcie odpowiednich przerwań sprzętowych i funkcji obsługiwanych przez ogólnie dostępne przerwania programowe. Ze względu na szybkość mnożenia się wirusy rezydentne udziela się na szybkie infektory i wolne infektory. Krótko mówiąc wirusy rezydentne zagnieżdżają się w pamięci i stamtąd infekują dyski lub programy.
? Szybkie infektory przejmują wszystkie możliwe funkcje systemu DOS, używane do obsługi plików i zarażają wszystko, co się da, w maksymalnie krótkim czasie, co powoduje, iż po okresie bardzo szybkiej ekspansji wirusa w danym systemie następuje jego pasywacja, gdyż wirus nie może znaleźć kolejnej ofiary do zarażenia. Często pierwsza czynnością wykonywana przez wirusa jest zniszczenie w pamięci kodu zamazywanej części interpretatora poleceń, co sprawia, że przy następnym wywołaniu jakiegokolwiek polecenia z poziomu DOS plik zawierający interpretator poleceń (czyli najczęściej COMMAND,COM) zostanie ponownie uruchomiony i w efekcie natychmiast zainfekowany. Duża aktywność szybkiego iniektora będzie na pewno łatwo zauważalna dla użytkownika.
? Wolne infektory; ich celem w przeciwieństwie do szybkich iniektorów nie jest szybka ekspansja w systemie, lecz raczej jak najdłuższe przetrwanie. Wirusy te używają najczęściej wolnych, kilkustopniowych, zmiennych procedur szyfrujących i techniki stealth. Infekują najczęściej tylko takie obiekty, które modyfikuje lub tworzy użytkownik, a więc nawet w przypadku sygnalizowania jakiejś niebezpiecznej operacji przez ewentualny program antywirusowy użytkownik będzie przekonany, iż potwierdza wykonywane przez siebie czynności. Asa to wirusy bardzo trudne do wykrycia i usunięcia, nawet przez bardzo zaawansowane programy antywirusowe.
Wirusy nie rezydentne (ang. Non-resident viruses)

Są najprostszą odmiana wirusów zarażających pliki wykonywalne. Po uruchomieniu nosiciela poszukiwany jest, najczęściej przy pomocy funkcji (4E,4F/21), kolejny obiekt do zarażenia. W przypadku nie znalezienia żadnego kandydata, sterowanie oddawane jest do nosiciela, w przeciwnym razie plik jest infekowany. Ofiary poszukiwane są w bieżącym katalogu i/lub w katalogach określanych w zmiennej środowiskowej PATH, i/lub w podkatalogach bieżącego katalogu, i/lub w katalogu głównym. Z reguły wirus taki nie przejmuje żadnego przerwania (ewentualnie na czas infekcji przejmowane jest przerwanie programowe 24h, które jest odpowiedzialne za obsługę błędów krytycznych). Główna wada tych wirusów jest to, iż poszukiwanie ofiar przy starcie programu wiąże się najczęściej z dużym opóźnieniem w uruchamianiu właściwego programu oraz łatwo zauważalna przez użytkownika wzmożona aktywnością przeszukiwanego nośnika. Druga wada jest to, iż zarażają one tylko i wyłącznie po uruchomieniu nosiciela, a więc nie mogą efektywnie infekować plików ani skutecznie maskować swej obecności w systemie. Sa to wirusy które są najprostsze, pisane są przez osoby uczące się pisania wirusów.